Dispositivi di protezione ad alta affidabilità per ambienti contaminati

Transcript

1 SAFAP 01, Napoli giugno ISBN Dispositivi di protezione ad alta affidabilità per ambienti contaminati A. Andolina *, C. Di Girolamo *, C. Robino ** * INAIL - Settore Ricerca, Certificazione e Verifiche ** Fike Europe BVBA, Milano 1. Sommario La direttiva 97/3/CE (PED) integra nelle attrezzature a pressione soggette a valutazione di conformità anche gli accessori di sicurezza richiedendo anche per questi il rispetto dei requisiti essenziali di sicurezza (RES) specifici di prodotto. Dal canto loro, la norma armonizzate NI EN 764-7, CEI EN e CEI EN indicano le regole progettuali adottabili a garanzia dei Requisiti Essenziali di Sicurezza dell attrezzatura a pressione non sottoposte a fiamma protette da accessori di sicurezza tradizionali ( valvole di sicurezza e dischi di rottura ) oppure SRMCR (Safety Related Measurement Control and Regulation ). I manuali d so e Manutenzione a corredo di attrezzature e accessori di sicurezza non sempre riescono a essere descrittivi di tutte le condizioni di lavoro realisticamente ipotizzabili, variando sia la natura dei fluidi in gioco, sia i parametri di utilizzo. Gli autori, attraverso la disamina del comportamento affidabilistico dei diversi sistemi di sicurezza, hanno tentato di definire quali di questi siano da considerare più efficaci in ambienti contaminati.. Generalità La Direttiva di prodotto specifica degli apparecchi a pressione 97/3/CE PED [1] definisce i criteri di progetto generali e di progetto ai quali devono rispondere tutte le attrezzature prima di essere commercializzate a garanzia del funzionamento sicuro. La Direttiva introduce due importanti novità prima non presenti nella progettazione delle attrezzature: Non viene definita la norma di costruzione ma solo i criteri generali che garantiscano comunque il raggiungimento dei Requisiti Essenziali di Sicurezza RES; I dispositivi di sicurezza tradizionali a protezione delle attrezzature quali valvole di sicurezza, dispositivi a frattura prestabilita, aste pieghevoli e valvole di sicurezza pilotate sono essi stessi attrezzature a pressione e devono seguire gli stessi principi di progettazione delle attrezzature che sono destinati a proteggere. Di conseguenza, l accessorio di sicurezza tipico, la valvola di sicurezza, sarà ora soggetto a controlli in fase di progetto e costruzione oltre alle verifiche funzionali che già venivano effettuate in sede di qualifica con il regolamento ante PED (D.M e Raccolta E p.to E.1.D.). Il rispetto puntuale di una norma armonizzata specifica, nel caso delle valvole di sicurezza la NI EN 416, veniva garantito il rispetto dei RES di cui all Allegato I della Direttiva []. Insieme alla nuova realizzazione di progetto dell accessorio di sicurezza il costruttore doveva garantire, con le informazioni contenute nel Manuale d so e Manutenzione, che le caratteristiche di installazione e funzionamento fossero sempre rispondenti alla piena funzionalità del dispositivo stesso. 1

2 SAFAP 01, Napoli giugno ISBN La pratica di manutenzione, i tempi e le modalità di controllo diventavano spesso il fattore critico per la sussistenza di tali caratteristiche di funzionalità soprattutto in ambienti critici per pressione e o per le caratteristica dei fluidi (corrosivi o incrostanti), soprattutto quando l informazione del Manuale d so non risultava completamente esaustiva. Prima della PED, costruttori e utilizzatori conoscevano quali condizioni di lavoro potevano compromettere seriamente il funzionamento di tali dispositivi di sicurezza, infatti la norma RP API 576 [3] Ispection of Pressure-Relieving Devices definiva quali potevano essere le condizioni di lavoro in grado di compromettere il corretto funzionamento di tali dispositivi di sicurezza: - presenza di fenomeni corrosivi - il danneggiamento delle sedi e delle superfici di contatto - la rottura del disco o degli elementi di tenuta - errato montaggio o serraggio degli accoppiamenti - mancanza di tenuta dell accoppiamento - condizioni operative con prodotti viscosi Insieme a tali fattori di carattere ambientale, la RP API 576 raccomandava di incrementare i controlli in presenza di vibrazioni, carichi pulsanti, piccoli ΔP tra il valore di set del dispositivo e il valore operativo del processo. In particolare i fenomeni di carico dinamico possono generare la rottura delle molle o deformazione permanente da chattering del disco di rottura. I processi condotti con pericolo di sporcamento delle attrezzature a pressione e degli accessori che li proteggono creano inoltre la necessità di verificare le condizioni di ostruzione dei condotti in ingresso e in uscita dei dispositivi, aggravando la pratica di manutenzione e allungandone i tempi di realizzo. In particolare veniva evidenziato che tali condizioni di lavoro per i dispositivi di protezione, potevano pregiudicarne il corretto funzionamento e che quindi, sia la modalità del controllo manutentivo, che i tempi di ispezione tra un controllo e il successivo, non potevano derogare dalla perfetta conoscenza del processo trattato e dell esperienza operativa maturata in ambienti similari. Tutti questi fattori alla lunga portano a stimare un comportamento insufficiente o totalmente inefficace del dispositivo di sicurezza. Le norme armonizzate per la protezione delle attrezzature a pressione definiscono criteri specifici per il progetto di un sistema di protezione, in particolare la NI EN 764-7: - Sistemi di sicurezza per attrezzature a pressione non esposte a fiamma -, pone l accento sull utilizzo di dischi di rottura tutte le volte che l affidabilità di sistema e le condizioni critiche di lavoro richiedano una pronta risposta, difficoltà di ispezione e manutenzione [4]. Purtroppo la diversità di utilizzo e la difficoltà dei costruttori a definire istruzioni specifiche di utilizzo, installazione e manutenzione legate alle specificità di impianto, lasciano spesso soli gli utilizzatori nella realizzazione del sistema di sicurezza più idoneo per le caratteristiche del loro processo produttivo. 3. Scelta del dispositivo di sicurezza La scelta del dispositivo di sicurezza va considerata caso per caso a seconda della progettazione e delle modalità operative e dell ambiente di lavoro dell attrezzatura a pressione sulla quale è destinato ad operare.

3 SAFAP 01, Napoli giugno ISBN Negli impianti di processo, un dispositivo di sicurezza a disco di rottura può essere installato con funzione di dispositivo unico di protezione primario, abbinato a valvole di sicurezza o incorporato in un dispositivo combinato. In generale, l installazione di un disco a rottura, quale dispositivo unico di limitazione della pressione può essere preferito nel caso in cui: il tempo di risposta dell alzata della valvola di sicurezza, tenuto conto degli attriti e delle inerzie di natura meccanica, renda la stessa inadeguata rispetto al gradiente di pressione interna del fluido contenuto nell attrezzatura; le condizioni di funzionamento del dispositivo, ad esempio per l esercizio a basse temperature, possano impedire o ostacolare il corretto funzionamento della valvola di sicurezza; non possano essere tollerate perdite del fluido nelle condizioni di esercizio assegnate; le condizioni di esercizio possano comportare l'accumulo di depositi che renderebbero inservibile, per sporcamento degli organi mobili, la valvola di sicurezza stessa; siano richieste ampie aree di scarico o di apertura; sia primario garantire il funzionamento della valvola di sicurezza montata a valle del disco e il suo eventuale smontaggio per manutenzione o taratura. Inoltre il disco di rottura presenta: una ridotta sensibilità ad incollamenti dovuti alla presenza di particelle solide aerodisperse, in ambienti severi con presenza di nebbie, gelo, ecc.; buona compatibilità dei dischi con taluni fluidi anticorrosivi; ridotta manutenzione in quanto costituito da componenti non soggetti a movimentazione meccanica tramite molle o altri dispositivi di bilanciamento. E tipico l utilizzo del disco di rottura in abbinamento a una valvola di sicurezza per proteggere la valvola dalla corrosione, dalle incrostazioni o da condizioni di esercizio che possono influire sulle prestazioni in campo del dispositivo. La caratteristica di isolamento della valvola di sicurezza ad opera del disco di rottura è ampiamente sperimentata nei processi criogenici dove, insieme alla barriera termica al contatto della valvola con il media criogenico si prevengono fenomeni di trafilamento di fluido. Questa combinazione di effetti, evita il raffreddamento/congelamento dell ingresso della valvola, evitando il suo non corretto funzionamento. Le produzioni industriali che lavorano con fluidi ad alta viscosità ricorrono spesso al sistema di sicurezza disco + valvola tutte le volte che le condizioni di utilizzo delle attrezzature a pressione favoriscano la formazione di agglomerati solidi che, se posizionati negli stacchi dei dispositivi di sicurezza, possono impedirne il corretto funzionamento. La combinazione di disco di rottura e valvola di sicurezza, fa sì che il fluido viscoso non entri in contatto con i meccanismi della valvola. Alcuni tipi di dischi di rottura inoltre, sono stati disegnati e sviluppati per avere una superficie a contatto con il prodotto, molto liscia e uniforme, prevenendo l accumulo di prodotto sulla superficie del disco stesso. In particolare, l utilizzo di specifici porta disco tipo Viscous Tee ( fig. 1 ) fa sì che il liquido di processo flussi continuamente sulla superficie del disco di rottura, riducendo al minimo l accumulo di prodotto e la formazione di intasamenti che possono pregiudicare il corretto funzionamento del disco stesso: 3

4 SAFAP 01, Napoli giugno ISBN fig. 1 Si procede quindi a una disamina dei sistemi di sicurezza ridondati e combinati ad azione diretta operanti in ambiente contaminato per verificare come varia affidabilità complessiva. 4. Tassi di guasto e analisi affidabilistica L affidabilità di un sistema di sicurezza viene definita in termini di tasso di gusto dei singoli componenti, delle ridondanze presenti e della filiera di comando dei segnali [5][6]. La combinazione degli accessori di sicurezza e la loro modalità di intervento, insieme con gli altri dispositivi di protezione, consente all attrezzatura di mantenere le sue variabili di riferimento (pressione, ) entro i limiti ammissibili (PS, TS) intervenendo nelle condizioni di funzionamento anomalo. L analisi affidabilistica definisce: Probability of Failure on Demand - PFD - la probabilità di guasto su richiesta di intervento (indisponibilità) tasso di guasto - probabilità di guasto del componente al tempo t generico- intervallo di test Ttest - tempo tra un test e l altro dei dispositivo componente del sistema di protezione - IPL Independent Protection Layer - livelli di protezione indipendenti utilizzati per proteggere l attrezzatura a pressione dall evento ipotizzato BPCS Basic Process Control System - controllo strumentale del processo che svolge funzione di protezione (costituisce il primo IPL) E possibile, attingendo dalle banche dati disponibili (Oreda, Lees, CCPS, API) definire i valori numerici di PFD più conservativi ai quali i dispositivi presenti sul mercato mediamente rispondono. Viene evidenziata la probabilità di guasto in termini di PFD : a) componenti del livello IPL di mitigazione dell evento incidentale Valvola di Valvola di sicurezza sicurezza a molla con pilota *10 Valvola riscaldata Disco rottura di SRMCR 1.56* tab. 1 4

5 SAFAP 01, Napoli giugno ISBN b) componenti dei livelli IPL di prevenzione dell evento incidentale Presso Intervento su stato di allarme blocco 10 1 BPCS Trasmettitore di pressione Trasmettitore di Sensore di Valvole di regolazione Valvole on/off Sensore di pressione Termostato di blocco *10 3 5*10.5*10 *10 5.5*10.*10 10 tab. 5. Reazioni esotermiche in ambienti critici e logica di intervento degli automatismi La problematica dello sporcamento delle attrezzature a pressione, delle sedi di alloggio dei dispositivi di sicurezza, delle linee di blow down è sicuramente presente nei processi di polimerizzazione delle resine, dove reazioni incomplete e/o formazione di foaming durante la produzione possono sporcare gli elementi di collegamento tra il vessel e i dispositivi di sicurezza, falsare i segnali degli indicatori del BPCS e, nei casi più estremi, isolare il reattore dai suoi dispositivi. In tali ambienti solo una buona pratica di manutenzione e severi cicli di lavaggio tra un batch e il successivo, permettono di garantire l efficienza del dispositivo di sicurezza adottato. n esempio tipico è costituito da un reattore che procede per campagne alla realizzazione di polimeri con procedure formalizzate e processo totalmente automatizzati. La tipologia della produzione è caratterizzato da esotermie significative e richiede quindi la previsione, in fase di analisi incidentale preliminare del Top Event: rottura del vessel con rilascio della carica a seguito di reazione esotermica non controllata. L HaZop, metodo di analisi comunemente adoperato descrive tramite la variazione dei parametri caratteristici di Pressione P e Temperatura T dei prodotti di reazione, la logica di intervento strumentale dei sistemi di controllo sia di quelli deputati al contenimento che di quelli impiegati nello scarico sicuro: HaZop IMPIANTO RESINE A1 REATTORE A Rif: aa.doc Rev. n.: 15 giugno 01 Foglio: 1di 1 PAROLA GIDA DEVIAZIONI POSSIBILI CASE PI Temperatura Errore di dosaggio del ritardante di reazione Aumento di CONSEGENZE DELLE DEVIAZIONI Aumento di + Altissima PIÙ pressione ++ Aumento di pressione Aumento pressione + pressione Altissima pressione SEGNALAZIONI INTERVENTI AZIONI E NOTE Allarme di alta TI 10 Allarme di altissima TI 11 Allarme alta pressione PI 10 Allarme altissima pressione PI 11 Chiusura ammissione reagenti e apertura max regolatrice VC 34 raffreddamento del tegolo. Inibitore di reazione Apertura quench tank al Due valvole di sicurezza (PCV00 e PSV1) Controllare gradiente di restauro della entro offset BPCS TOP EVENT tab. 3 5

6 SAFAP 01, Napoli giugno ISBN Dove risultano evidenziati i livelli di protezione indipendente IPL : IPL1 prevenzionee IPL prevenzionee IPL3 mitigazione Deriva BPCS Aumento di e pressione fuori controllo - runaway - Intervento dei dispositivi di sicurezza BPCS T+ T++ P+ P++ TOP fig. tilizzando i dati delle tabelle 1 e possiamo costruire l albero di guasto corrispondente dove viene esplicitata la strumentazione adottata per i livelli IPL1 e IPL più l intervento ultimo del dispositivo ad azione diretta, IPL3 (fig. 3 ): fig. 3 6

7 SAFAP 01, Napoli giugno ISBN Nel caso di configurazioni dei segnali tradizionali: sensore trasmettitore attuatore fig. 4 la logica completamente ridondata secondo: 1oo oppure oo3 fornisce mediamente incrementi di un ordine di grandezza rispetto la logica di intervento 1oo1 [5], come risulta già dall applicazione della norma CEI EN p.to B... La configurazione dei livelli di protezione IPL è stata ipotizzata totalmente automatizzata in quanto l intervento dell operatore nel controllo dell evento non 1 consente di utilizzare PFD inferiore a 10 [7]. Il reattore è stato strumentato con interventi in controllo e in emergenza totalmente automatizzati e con un ultimo livello di protezione indipendente costituito da dispositivi di sicurezza ad azione attiva. 6. Configurazione del dispositivo di protezione e disponibilità del sistema di protezione ad azione positiva Il dispositivo di protezione in ambiente a elevato sporcamento, deve essere sempre in grado di garantire la massima disponibilità. A questo scopo possono essere adottate al posto delle singole valvole di sicurezza configurazioni più complesse, al fine di garantire sempre il contenimento dell evento TOP nel livello IPL3: a) Valvola di sicurezza con disco di rottura montato in serie L albero dei guasti varia con un PFD del sistema dato da: evento Descrizione Tasso di guasto T test Probabilità R/ PSV 0 malfunct. DR 0 Malfunct *10 5*10.5* AND PFD = 3.015*10 b) Nel caso di IPL3 costituito da valvola di sicurezza riscaldata si presume che il tasso di guasto della valvola in ambiente contaminato sia equivalente a quello di un sistema pulito con valvola convenzionale a parte il termine di indisponibilità della rete vapore o della tracciatura di alimento: 7

8 SAFAP 01, Napoli giugno ISBN evento Descrizione Tasso di guasto T test Probabilità R/ PSV 0 malfunct. riscaldament o *10 5.6*10 4.5*10,5* R AND 3 PFD = 5.005*10 c) Nel caso di ultimo IPL costituito da doppio disco di rottura in serie il comportamento è analogo al sistema valvola + disco: evento Descrizione Tasso di guasto T test Probabilità R/ DR 1 malfunct. DR 0 Malfunct *10 5*10.5* AND PFD= 3.015*10 d) Valvola di sicurezza con disco di rottura montato in serie con sensore di sporcamento Evento Descrizione Tasso di guasto T test Probabilità R/ PSV 0 malfunct. DR 0 Malfunct *10 5*10 4.5*10.4* R AND 3 PFD= 5.5*10 Variando i tempi di ispezione 3 mesi, sei mesi, uno e due anni si ottengono i diversi valori di PFD: t test PFD 3 mesi PFD 6 mesi PFD 1 anno PFD anni PSV+ DR a) 1.55* * * *10 PSVrisc. b) 1.55*10.505* * *10 PSV+ Drsens. d) *10.746*10 5.5* *10 tab. 4 8

9 SAFAP 01, Napoli giugno ISBN In grafico le tre condizioni significative al variare del tempo di sistema: T test e della configurazione fig. 5 E evidente che all aumentare della frequenza dei tempi di ispezione si ottiene con le diverse configurazioni una rispondenza alle diverse aspettative di SIL di sistema. La norma CEI EN 61508[5] definisce il legame tra il SIL ( Safety Integrity Level ) e il PFD di sistema: livello di sicurezza SIL 1 SIL SIL 3 SIL 4 probabilità di guasto su domanda 10 PFD PFD PFD PFD tab Conclusioni I dispositivi di protezione ad azione diretta costruiti secondo la direttiva PED in IV categoria di rischio garantiscono sempre un tasso di disponibilità dipendente dalla qualità di realizzazione del dispositivo e dalle modalità di funzionamento delle attrezzature che sono destinate a proteggere. Le condizioni di utilizzo sono spesso sconosciute al costruttore del dispositivo. Diventa compito dell utilizzatore dell impianto attrezzare i sistemi di sicurezza in modo da definire livelli di protezione indipendenti adeguati alla mitigazione dell evento previsto e, 9

10 SAFAP 01, Napoli giugno ISBN soprattutto, configurare tali sistemi in modo tale che sia sempre mantenuta l efficienza dell intervento. La configurazione seriata di più dispositivi, nonostante diminuisca in valore assoluto la disponibilità dei sistema di protezione nel suo complesso, in ambienti contaminati consente di fare riferimento a condizioni di intervento analoghe ad ambienti operativi puliti, e quindi ad aumentare la disponibilità del livello IPL relativo. I valori riportati ad esempio evidenziano che configurazioni di dispositivi di protezione combinate oltre ad assicurare l intervento efficiente su domanda permette, utilizzato insieme a tempistiche di manutenzione più frequenti, di garantire il mantenimento del livello di protezione di sistema entro SIL. 8. Bibliografia [1] D.Lgs. 93/000: Attuazione della direttiva 97/3 CE in materia di attrezzature a pressione [] NI EN ISO 416 : Dispositivi di sicurezza per la protezione contro le sovrapressioni [3] API RP 576: Ispection of Pressure Relieving Devices ed. 000 [4] NI EN 764-7: Attrezzature a pressione- Sistemi di sicurezza per attrezzature a pressione non esposte a fiamma [5] CEI EN : Sicurezza funzionale dei sistemi elettrici, elettronici ed elettronici programmabili per applicazioni di sicurezza [6] CEI EN 61511: Functional safety: Safety Instrumented Systems for the process industry sector [7] CCPS / AIChE: Layer of Protection Analysis Simplified Process Risk Assessment, pp