NO319522B1 - Fremgangsmate og anordning for a verifisere funksjonaliteten til en sikkerhetsanordning - Google Patents

Description

Oppfinnelsen angår vedlikehold av sikkerhetsanordninger. Spesielt angår oppfinnelsen verifikasjon av korrekt funksjonalitet til aktuatorstyrte sikkerhetsanordninger omfattende bevegelige deler, spesielt såkalte nødnedkoplingsventiler og deres styreanordninger, på en slik måte at verken produksjonskontinuiteten eller beredskapstilstanden til anordningen blir svekket.

Nærmere bestemt vedrører således oppfinnelsen en fremgangsmåte av den art som angitt i innledningen til det selvstendige patentkrav 1 og en anordning for å verifisere en sikkerhetsanordning som angitt i innledningen til det selvstendige patentkrav 3.

I industrien, og særlig den petrokjemiske prosessindustrien, blir det brukt systemer som kan forårsake faresituasjoner ved feil, er utstyrt med ventiler og andre mekaniske innretninger som er designet til å bringe prosessen hurtig til en trygg tilstand dersom forutinnstilte prosessparametergrenser blir overskredet. For eksempel innbefatter et slikt system vanligvis ventiler med énvirkningsaktuatorer, hvis åpning eller lukking utløser et oppbygd overtrykk, avleder en risikofylt prosesstrøm til en holdetank, eller lignende. I det etterfølgende blir slike ventiler referert til som nedkoplingsventiler (idet de er nød-ventiler som har en lukkende eller åpnende funksjon). Disse ventilene opprettholder normalt alltid den samme posisjonen, slik som andre korresponderende mekaniske sikkerhetsanordninger, og de kan følgelig være utsatt for å sette seg fast dersom situasjoner som fremtvinger en nedkopling, hvilket forhåpningsfullt er tilfellet, ikke oppstår svært hyppig. Den generelle sikkerheten til nedkoplingsventiler anses ikke tilfredsstillende når tidligere kjent utstyr og fremgangsmåter blir brukt. Den største ulempen i dagens systemer er at en eksisterende feil, for eksempel at en mekanisk komponent fastkiles, ikke nødvendigvis observeres når systemet er i en beredskapstilstand, og i en nødsituasjon kan systemet bli svekket eller ikke operativt. For å verifisere riktig funksjonalitet er det vanlig å teste, for eksempel nedkoplingsventilene på en måte som simulerer en virkelig nødsituasjon. Denne praksis i virkeligheten frembringer høye risikoer siden funksjonaliteten til nedkoplingsventilsystemet blir midlertidig blokkert, og dersom anordningen ikke blir riktig aktivert, kan situasjonen forbli permanent.

En fremgangsmåte for å teste en nedkoplingsventil er mekanisk å begrense dens beve-gelse og derved forhindre den i å få noen betydelig effekt på prosessen, og undersøke mobiliteten til ventilen innenfor visse grenser. Denne prosedyren krever anvendelsen av for eksempel en fysisk nøkkel og aktivering av nødsystemet forhindres under testprose-dyren, i det minste så langt det angår den relevante enheten.

Testen blir utført ved på forhånd bestemte intervaller, for eksempel to ganger om året, men testen beviser bare at anordningene fungerer i testtidspunktet. En feil kan utvikle seg kort etter testen og vedvare inntil neste test. Denne måten å teste på er ikke noen pålitelig verifisering av funksjonaliteten til systemet.

Ventildiagnostisering med bruk av dagens sensor og digital teknologi er et felt som ut-vikler seg hurtig. For eksempel er det i finsk patentsøknad nr. 96 2406 og europeisk

patentsøknad nr. 95 306546, beskrevet fremgangsmåter for å overvåke eller kontrollere tilstanden til styreventiler ved bruk av sensorer i aktuator og styreinnretningen til ventilen og analyse av signalene fra sensorene i en mikroprosessor for å analysere funksjonaliteten til ventilenheten som helhet.

Som beskrevet ovenfor, involverer kontrollen av tilstanden til en ventil eller en annen mekanisk anordning som er en del av et sikkerhetssystem, visse krav.

I norsk patent nr. 152314 er beskrevet en fremgangsmåte og anordning for å teste funksjonen til sikkerhetsanordninger. I henhold til dette patentet blir en nødnedkoplingventil eller styrereleet til en elektrisk motor periodisk testet uten å påvirke prosessen som sikkerhetssystemet er tilordnet. Ved for eksempel midlertidig å kutte signalet fra en sole-noidstyreventil som påvirker en nedkoplingsventil, blir nedkoplingsventilen forskjøvet for eksempel 10 grader, og posisjonen til nedkoplingsventilen blir overvåket av en sensor eller en grensebryter. Dersom det observeres en feilfunksjon, blir sikkerhetsfunksjonen aktivert. Testsekvensen blir styrt av logiske kretser som befinner seg utenfor området og implementert ved hjelp av tidsinnstillere og standard logiske elementer.

Det er oppfunnet en fremgangsmåte som tilveiebringer verifikasjon av feilfri drift til en mekanisk sikkerhetsanordning, for eksempel en nedkoplingsventil, samtidig som beredskapstilstanden til sikkerhetssystemet konstant opprettholdes uten svekkelse. I fremgangsmåten blir sikkerhetsfunksjonen og kontroll eller diagnostiseringsfunksjonen kombinert i sanntid, men sikkerhetsfunksjonen har likevel en høyere prioritet enn diagnostiseringsfunksjonen. I en fremgangsmåte i henhold til oppfinnelsen blir en komponent som er innpasset direkte på sikkerhetsanordningen for å aktivere sikkerhetsfunksjonen styrt av anleggets høynivå sikkerhetssystem som er ansvarlig for sikkerhetsope-rasjonen, eller alternativt av en logisk enhet som er integrert i anordningen i henhold til oppfinnelsen, og en diagnostiseringsenhet er tilpasset eller tilordnet aktiveringskompo-nenten. Diagnostiseringsenheten tillates å utføre diagnose uten å forstyrre prosessfunk-sjonene når prosessen er i en normal tilstand. I en nødssituasjon blir diagnostiseringsenheten forbikoblet slik at for eksempel verken en feil eller forstyrrelse under diagnostise-ringstestingen eller en pågående rutinetesting kan svekke sikkerhetsfunksjonen. Rammen og periodisiteten til diagnostisteringen kan programmeres inn i systemet for å opp-nå et ønsket pålitelighetsnivå.

Dette oppnås med en fremgangsmåte av den innledningsvis nevnte art som er kjennetegnet ved trekkene i karakteristikken til patentkrav 1.

I henhold til en utførelse av den foreliggende oppfinnelsen er det tilveiebrakt en anordning som muliggjør verifikasjonen av uforstyrret drift til en mekanisk sikkerhetsanordning samtidig som beredskapstilstanden til sikkerhetssystemet opprettholdes fullstendig, og dette oppnås med en anordning av den innledningsvis nevnte art som er kjennetegnet ved trekkene i karakteristikken til patentkrav 3.

Fordelaktige utførelser av fremgangsmåten og anordningen er angitt i de respektive uselvstendige patentkravene.

Feltenheten til sikkerhetssystemet i henhold til oppfinnelsen omfatter en mikroprosessor som besørger forutinnstilte selvtesting- og diagnostiseringsprosedyrer. Feltenheten innbefatter videre en styreenhet som besørger styringen av en aktuator. Ved hjelp av pas-sende kommunikasjonsinnretninger er styreenheten tilkoblet, på den ene siden, høynivå sikkerhetssystemet eller den logiske enheten som er integrert i feltenheten, og på den andre siden energileveringen til sikkerhetsanordningen, for eksempel en trykkluftforsy-ning. Høynivå sikkerhetssystemet eller den integrerte logiske enheten aktiverer sikkerhetsfunksjonen direkte, idet diagnostiseringsfunksjonen forbikobles.

I tillegg til feltenheten er en annen hovedkomponent av sikkerhetssystemet i henhold til den foreliggende oppfinnelsen en overvåkningsenhet. Kommunikasjonsleddet fra høy-nivå sikkerhetssystemet blir rutet gjennom overvåkningsenheten. Oppgaven til overvåkningsenheten er fortrinnsvis å overvåke status til feltenheten on-line, samt å tilveie-bringe innretningen for å presentere statusinformasjon til brukeren.

Oppfinnelsen er beskrevet nærmere nedenfor med henvisning til de medfølgende teg-ningene, hvor

fig. 1 er en skjematisk fremstilling av et system for å implementere fremgangsmåten i henhold til den foreliggende oppfinnelsen;

fig. 2 er en fremstilling av en feltenhet i henhold til den foreliggende oppfinnelsen tilkoblet en ventilaktivator i en normal situasjon;

fig. 3 er en fremstilling av en feltenhet og aktivator i henhold til den foreliggende oppfinnelsen i en nødssituasjon.

På fig. 1 representerer henvisningen 1 en overvåkningsenhet for et system i henhold til den foreliggende oppfinnelsen og henvisningen 2 er en feltenhet som omfatter en kontroll- eller styreenhet 7 i henhold til oppfinnelsen, et kommunikasjonsgrensesnitt 3, en elektronikkenhet 19 innbefattende en mikroprosessor, og de nødvendige sensorene og pneumatiske komponenter (ikke vist). Styreenheten 7 styrer en sikkerhetsanordning 24 som omfatter en aktivator 8 og en ventil 22. Kommunikasjonen mellom overvåkningsenheten 1 og styreenhet 7 besørges fortrinnsvis ved hjelp av et kommunikasjonsledd 5 som beskrevet nedenfor. Kommunikasjonsleddet 5 kan være analogt eller digitalt eller en kombinasjon av analogt eller digitalt ved hjelp av for eksempel en parkabel. Siden feltområdet vanligvis er et område med eksplosjonsrisiko, innbefatter i dette tilfellet systemet en sperreenhet 6.

Feltenheten 2 blir matet med en effektspenning, fortrinnsvis 24 V, fra høynivå sikkerhetssystemet 18 som brukes av sikkerhetsgrunner, eller som i tilfellet med sikkerhetssystemet i henhold til den foreliggende oppfinnelsen innbefatter en logisk enhet, fra et digitalt kommunikasjonsledd. Overvåkningsenheten 1 er fortrinnsvis utstyrt med indika-torlys som angir tilstanden til feltenheten, styrt av signalet tilveiebrakt av kommunikasjonsleddet 5 og reléutgangene 21 korresponderer med indikatorlysene, for eksempel kan et grønt lys indikere at signalet er normalt og at sikkerhetssystemet i henhold til oppfinnelsen er i en beredskapstilstand. Ved programmerbare intervaller utfører mikroprosessoren innbefattende elektronikkretsen 19 diagnostisering. Derved endrer signalet i leddet 5 seg, som indikert med for eksempelet gult lys. Når diagnostiseringen har av-dekket en feil, blir dette på korresponderende måte indikert med for eksempel et rødt lys. Signalene som korresponderer med indikatorlysene kan videresendes gjennom for eksempel reléutganger 21. Ytelsen eller funksjonaliteten til lysindikatorene og reléutgangene kan for eksempel undersøkes ved hjelp av en lokal skyvebryter på overvåkningsenheten.

Ovei^åkningsenheten 1 er fortrinnsvis tilkoblet en datamaskin 23 som kjører et vedlikeholdsprogram for sikkerhetssystemet som gjør det mulig å bestemme typen feil ved analyse av data lagret av diagnostiseirngssystemet. Kommunikasjonen som er nødvendig for denne funksjonen er fortrinnsvis også tilveiebrakt av kommunikasjonsleddet 5.

Overvåkningsenhetens hus innbefatter videre fortrinnsvis en innretning (for eksempel et tastatur og et LED-display) for lokal styring av mikroprosessoren innbefattet i elektronikkenheten 19. Oppgaven til kommunikasjonsgrensesnittet 3 er å separere signalene, som beskrevet nedenfor, som sendes av kommunikasjonsleddet 5.1 tillegg kan det inn-befatte den logiske enheten integrert i feltenheten.

I kommunikasjonsgrensesnittet 3 deler kommunikasjonsleddet seg i et direkteledd 10 til styreenheten 7 og et ledd 25 til elektronikkenheten 19. Videre er elektronikkenheten 19 tilkoblet 26 til styreenheten.

Under normal drift blir tester på styreenheten 7 og sikkerhetsanordningen 24 utført ved definerte intervaller under styringen av programmet i mikroprosessoren i elektronikkenheten 19. Tester kan også utføres ad hoc ved hjelp av datamaskinen 23.

I en situasjon hvor nødsfunksjonen blir aktivert, føres signalet direkte fra høynivå sikkerhetssystemet 18 via ledd 5 og 10 til styreenheten 7, for eksempel på en måte som beskrevet nedenfor. Alternativt kan en logikkenhet integrert i kommunikasjonsgrensesnittet 3 overføre et signal langs leddet 10 direkte til styreenheten 7.

På fig. 2 angir henvisningstallet 7 hovedventilen til feltenheten 2. Figuren representerer en normal driftssituasjon: En tilkopling 10 er energisert med 24 V styrespenning, den pneumatiske styreventilen 11 er lukket og sleiden 14 forblir skjøvet til høyre mot fjæren 15. Herved virker driftslufttrykket til aktivatoren fritt gjennom forbindelsene 12 og 13, og ventilaktivatorsylinderen 8 blir satt under trykk, og fjæren 9 blir sammentrykt. Mikroprosessoren 17 i elektronikkenheten 19 tillates å utføre diagnostisering ved hjelp av den pneumatiske styreventilen 16 som beskrevet nedenfor.

Fig. 3 viser en situasjon hvor sikkerhetsfunksjonen er aktivert. Spenningen i tilkoplingen 10 har falt til null, og trykket blir utløst gjennom ventilen 11. Fjæren 15 skyver sleiden 14 til venstre, aktivatortrykket blir frigjort gjennom åpningen 20, og aktivatoren 8, bringer ved hjelp av energien i den sammentrykte fjæren 9, nedkoplingsventilen til dens sikkerhetsposisjon, som kan være åpen eller lukket. Funksjonen til mikroprosessoren 17 har ingen innvirkning på situasjonen. Mikroprosessoren blir fortrinnsvis deenergisert i denne situasjonen siden den mates med effekt fra den samme tilkoplingen som styreventilen 11. Feltelektronikkenheten 19 til nedkoplingsventilen blir naturligvis normalt utstyrt med ikke-flyktige lagerkretser og er derved i stand til å lagre måledata som rela-terer seg til sikkerhetsfunksjonen før effekten forsvinner.

Mikroprosessoren 17 mottar i det minste de følgende inngangsdata:

posisjon til styrenventilen

posisjon til nedkoplingsventilen

sylindertrykk til aktivator

kommandoer entret fra et lokalt tastatur

Mikroprosessoren 17 kan programmeres til å utføre diagnostiseringsfunksjoner ved på forhånd bestemte intervaller, for eksempel 15 ms - en uke. I den foretrukne utførelsen beskrevet nedenfor omfatter disse en såkalt hysteresetest. Før start av testen overfører mikroprosessoren et signal til overvåkningsenheten 1, ved å endre signalet i kommunikasjonsleddet 5, og overvåkningsenheten endrer seg slik at den indikerer at en test er under utførelse. Så blir kontroll eller styretrykket senket ved hjelp av ventilen 16 under et tidligere definert tidsintervall til et forutinnstilt nivå og tilbake til startnivået, hvorved en korresponderende minskning av aktivatortrykket skal observeres innenfor en definert tidsforsinkelse, som indikert av sensorer (ikke vist). Når trykket er minsket og returnert til starttilstanden innenfor et definert tidsintervall, skal en korresponderende endring i nedkoplingsventilposisjonen være observert innenfor en definert tidsforsinkelse.

Dersom målverdiene ikke oppnås, sender mikroprosessoren 17 et signal til overvåkningsenheten, ved å endre signalet i kommunikasjonsleddet 5, hvilket signal skifter slik at det indikeres feilalarm. Bevegelsene til nedkoplingsventilen under testsyklusen er begrenset for ikke å innvirke på prosessen.

I tillegg til testen beskrevet ovenfor for å verifisere den mekaniske funksjonaliteten til en nedkoplingsventil, innbefatter diagnostisering andre funksjoner som ligger utenfor rammen av den foreliggende oppfinnelsen, for eksempel intern diagnostisering av elekt-ronikkomponenter og karakterisering av ventillekkasje og ventilbevegelse ved bruk av en separat akustisk sensor.

I henhold til en utførelse av den foreliggende oppfinnelsen kan all kommunikasjon mellom felt og styrerom finne sted langs den samme kommunikasjonsforbindelsen 5. Dette er fortrinnsvis en parkabel for

a) å opprettholde styrespenningen, for eksempel 24 V, til høynivå sikkerhetssystemet 18, samtidig som beredskapstilstanden til feltenheten 2 opprettholdes; b) å styre indikatorlysene og reléutgangene til overvåkningsenheten 1 ved hjelp av sig-nalendringer; c) å kommunisere mellom sikkerhetssystemets vedlikeholdsprogram i datamaskinen 23 og elektronikkenheten 19 ved bruk av for eksempel HART-protokollen, som er vel

kjent for fagkyndige på området.

Arrangementet ovenfor er å foretrekke siden ettermontering av systemet i eksisterende anlegg er hensiktsmessig.

I motsetning til fremgangsmåten og anordningen beskrevet i NO 152314, gir den foreliggende oppfinnelsen de følgende fordelene: De "intelligente" komponentene befinner seg i feltet, hvilket muliggjør tilkop lingen av sikkerhetsanordningen til et feltbussystem.

Dersom det observeres en feilfunksjon, blir sikkerhetsfunksjonen ikke ubetinget

aktivert, men vedlikehold er mulig og anlegget kan forbli i drift. Hovedberedsskapssignalet (for eksempel den 24 V hovedspenningen i eksempelet ovenfor) blir ikke påvirket under testing, men direkte kontakt med systemet som anvendes til sikkerhetsfunksjoner blir alltid opprettholdt. Testing blir utført

ved bruk av et dedikert signal og adskilt kabling.

Det er mulig å kjøre individuelle frittstående tester, så vel som detaljert diagnostisering som involverer flere sensorer, etter valg av type selvdiagnostisering. Kabling til feltenheten blir holdt på et minimum; ofte er det tilstrekkelig med en

eksisterende parkabel.

Oppfinnelsen er beskrevet her som et system implementert på en ventil, men det er åpenbart at oppfinnelsen kan uten å forlate dens generelle konsept implementeres i andre sikkerhetsanordninger som omfatter mekaniske deler, ikke nødvendigvis som styrer fluidstrømninger, men som tilveiebringer en sikker tilstand ved hjelp av andre innretninger.

Claims (5)

1. Fremgangsmåte for å verifisere funksjonaliteten til en sikkerhetsanordning og et sikkerhetssystem som styrer anordningen, hvori sikkerhetsanordningen er tilveiebragt med innretninger for å utføre operasjoner for å verifisere mobiliteten til de bevegbare delene til sikkerhetsanordningen og for å verifisere funksjonaliteten til elektriske enheter i sikkerhetssystemet, hvorved i en nødsituasjon, diagnostiseirngsenheten bli forbikoblet og sikkerhetsfunksjonen aktivert direkte av høynivåsikkerhetssystemet til anlegget eller av en logisk enhet, karakterisert ved å innpasse en komponent for aktivering av sikkerhetsfunksjonen direkte til sikkerhetsanordningen, hvilken komponent blir styrt direkte av høynivåsikkerhetssystemet, eller alternativt av en logisk enhet integrert i sikkerhetsanordningen, å adaptere en diagnostiseringsenhet til kompo-nenten, å tillate utførelse av diagnostiseringsfunksjoner av diagnostiseirngsenheten, fo-rutsatt at dersom en feilfunksjon blir observert, blir ikke sikkerhetsanordningen aktivert betingelsesløst.

2. Fremgangsmåte ifølge krav 1, karakterisert ved at prosedyren for å verifisere mobiliteten til bevegbare deler og funksjonaliteten til elektriske komponenter i sikkerhetssystemet blir utført kontinuerlig i samsvar med en forut-bestemt plan, eller som enkelthendelser ved hjelp av en kommunikasjonslink.

3. Anordning for verifikasjon av en sikkerhetsanordning som omfatter bevegbare deler, omfattende en styreenhet for å aktivere sikkerhetsfunksjonen, koblinger eller linker for å styre styreenheten direkte av et høynivåsikkerhetssystem for anlegget, eller av en logisk enhet, elektronikk for å utføre diagnostisering, innretning for å klargjøre i en nødsi-tuasjon, sikkerhetssystemet eller den logiske enheten til å forbikobles diagnostiserings-elektronikken, karakterisert av en feltenhet (2) innpasset direkte på sikkerhetsanordningen, hvilken feltenhet innbefatter styreenheten (7) for aktivering av sikkerhetsfunksjonen, en elektronikkenhet (19) adaptert til styreenheten (7), for å utføre diagnostisering uten å aktivere sikkerhetsanordningen betingelsesløst dersom en feilfunksjon blir observert, linker eller koblinger (5,10) for å styre styreenheten direkte av høynivåsikkerhetssystemet (18) eller alternativt av en logisk enhet integrert i sikkerhetsanordningen.

4. Anordning ifølge krav 3, karakterisert ved en feltenhet (2) tilveiebragt på anordningen, en overvåkningsenhet (1) som befinner seg et annet sted, og en kommunikasjonslink (5) mellom de nevnte enhetene, hvor signalene fra feltelektronikkenheten (19) og signalene fra sikkerhetssystemet (18) blir sendt i kommuni-kasjonslinken.

5. Anordning ifølge krav 3 eller 4, karakterisert ved at sikkerhetsanordningen omfatter en aktuator og en ventil.