Inglese
Cinese
Spagnolo
Russo
Portoghese
Francese
Tedesco
Indonesiano
Tailandese
Vietnamita
Arabo
Turco
Polacco
Giapponese
Misura di livello contro il troppo pieno: Impostare l'allarme alto-alto indipendente in base alla velocità di riempimento
Principio di sicurezza. La misura di livello per prevenire il troppo pieno deve lasciare distanza sufficiente a fermare l'afflusso dopo un allarme o un intervento. Un interruttore alto-alto vicino al troppo pieno non è sufficiente se inerzia della pompa, chiusura della valvola e risposta dell'operatore consumano lo spazio rimanente. L'indipendenza deve essere anche fisica e funzionale: due valori provenienti da un trasmettitore non sono due livelli di protezione.
Calcolare la distanza dal limite prima di scegliere la quota di allarme
Partire dalla massima velocità di riempimento credibile, non dalla media normale della pompa. Includere tutti gli afflussi simultanei consentiti dallo scenario. Elencare poi ogni ritardo tra il superamento del punto di intervento e l'effettivo arresto del flusso.
Esempio con risposta dell'operatore. La velocità massima di riempimento è 0.80 m/min. Si assegnano 5 secondi al riconoscimento dell'allarme, 60 secondi alla risposta dell'operatore e altri 12 secondi alla valvola remota e all'arresto per inerzia della pompa. Il tempo totale assegnato è 77 secondi, ossia 1.283 minuti.
Salita del livello dopo l'intervento = 0.80 × 1.283 = 1.03 m
Con velocità di salita costante e ritardi sequenziali ipotizzati, la distanza di risposta è circa 1.03 m. Aggiungere margini di misura, riferimento, impostazione, onde e altri margini richiesti prima di scegliere la quota massima di intervento. Se il margine aggiuntivo è 0.35 m, la distanza dell'esempio è circa 1.38 m sotto il livello limite. Includere tutti i ritardi pertinenti di rilevamento, logica e arresto senza contarli due volte.
È un esempio, non una soglia universale. Se l'afflusso è specificato come volume per tempo e la sezione del recipiente varia con l'altezza, ricavare la salita dalla curva effettiva di capacità anziché presumere una velocità costante in m/min. Una funzione strumentata di sicurezza automatica ha una catena di risposta e requisiti di dimostrazione diversi; usare l'analisi dei pericoli del progetto e la norma applicabile.
| Margine di tempo o distanza | Fonte dei dati | Omissione frequente |
|---|---|---|
| Velocità massima di riempimento | Studio di pompa/valvola e trasferimento | Usare il valore normale anziché il massimo credibile |
| Ritardo di sensore e logica | Dati del dispositivo e del risolutore logico | Presumere un intervento istantaneo |
| Risposta umana | Analisi scritta della risposta operativa | Presumere che un operatore osservi sempre |
| Chiusura valvola e arresto per inerzia della pompa | Prova o dati dinamici del fornitore | Equiparare il comando di chiusura a portata nulla |
| Tolleranza di misura e impostazione | Dati dello strumento e della configurazione | Ignorare riferimento e tolleranza di allarme |
| Onde e margine di processo | Valutazione del recipiente e dei pericoli | Usare tutta l'altezza rimanente come margine utile |
L'indipendenza è una catena, non un secondo identificativo
Un radar di controllo e un interruttore di allarme possono condividere bocchello, tenuta di processo, alimentazione, scheda d'ingresso PLC o lo stesso errore di uno strumento di configurazione comune. L'accettabilità dipende dalla riduzione di rischio richiesta e dalla filosofia di protezione applicabile. Non dichiarare indipendenza senza elencare gli elementi condivisi.
Per un livello alto-alto realmente separato, verificare elemento sensibile, collegamento di processo se richiesto, elettronica, uscita, risolutore logico, alimentazione, elemento finale e procedure umane. Un secondo canale nello stesso trasmettitore può fornire diagnostica utile, ma non è automaticamente un livello indipendente di protezione.
Usare una tabella delle cause condivise nella verifica. Le righe devono includere depositi di prodotto, bocchello ostruito, perdita di alimentazione, scheda d'ingresso guasta, campo errato, modifica software comune, esclusione lasciata attiva e guasto dell'elemento finale. Le colonne devono mostrare se entrambe le funzioni, controllo e alto-alto, sono interessate, come si rileva il guasto e quale risposta procedurale resta disponibile. È più rivelatore di un disegno con due simboli di strumento.
Un radar continuo per il controllo più un interruttore puntuale per l'alto-alto è un'architettura comune. Può essere adatto anche un secondo dispositivo continuo se copertura diagnostica, installazione e catena di uscita soddisfano il requisito. L'etichetta tecnologica conta meno del comportamento di guasto verificato.
Normale, alto e alto-alto sono funzioni diverse
Il livello alto normale può fermare un trasferimento ordinario o richiamare l'attenzione dell'operatore. L'alto-alto è l'ultimo livello di protezione definito prima della condizione limite. Se entrambi azionano la stessa valvola tramite la stessa logica e condividono lo stesso guasto, i loro contributi alla riduzione del rischio non si possono semplicemente sommare.
Distinguere anche livello operativo massimo, livello di allarme, livello di intervento, quota del troppo pieno e limite strutturale o sicuro di riempimento. Un disegno del serbatoio con il solo «100%» non basta per progettare la protezione contro il troppo pieno.
La prova periodica deve verificare la catena su cui si fa affidamento
Una prova automatica del dispositivo non dimostra che il bocchello sia libero, l'interruttore sia alla quota corretta, il risolutore logico intervenga o la valvola finale fermi il flusso. Definire quale parte della catena copre ogni prova e quali prove separate coprono il resto.
Domande per la procedura di prova:
Il livello fisico del prodotto può essere alzato in sicurezza oppure si usa un metodo di simulazione approvato?
La simulazione esclude l'elemento sensibile e quale ispezione aggiuntiva copre tale lacuna?
L'intervento è provato soltanto fino al risolutore logico o fino all'elemento finale?
Le esclusioni sono registrate, limitate nel tempo e ripristinate in modo indipendente?
Sono registrati quota di intervento, soglia, tempo di risposta effettivo e valori finali?
L'intervallo deriva dai requisiti di sicurezza e dalle evidenze dell'impianto anziché essere copiato da un altro sito?
Non dichiarare prestazioni SIL sulla sola base di un certificato del dispositivo. Contano funzione di sicurezza, architettura, dati dei guasti pericolosi, intervallo di prova periodica, ipotesi sulle cause comuni e procedure operative.
Domande dalle verifiche contro il troppo pieno
D1. L'allarme alto-alto del radar di controllo può essere il sistema di riserva indipendente?
Non per definizione. Condivide sensore ed elettronica. Stabilire se esista una protezione di riserva cui attribuire una riduzione del rischio richiede una valutazione di indipendenza e rischio.
D2. Una forcella vibrante è più sicura del radar per l'alto-alto?
Nessuna tecnologia è automaticamente più sicura. Idoneità, diagnostica, comportamento del prodotto, installazione, architettura e prove periodiche determinano la protezione fornita.
D3. Perché non impostare l'alto-alto il più vicino possibile al troppo pieno?
Perché l'afflusso prosegue durante rilevamento, decisione e arresto. La distanza di risposta calcolata e i margini possono richiedere una soglia più bassa.
D4. Una mappa dei falsi echi può essere usata come base di sicurezza?
Configurazione completa e controllo delle modifiche influenzano l'affidabilità. Le impostazioni di sicurezza richiedono il processo di verifica e gestione delle modifiche del progetto; una comoda funzione di messa in servizio non dimostra la sicurezza.
D5. Cosa includere in una RFQ?
Livello limite, quota di intervento proposta, velocità massima di riempimento, filosofia di arresto, indipendenza richiesta, norma o categoria applicabile, dati di prodotto e bocchello, vincoli delle prove periodiche e diagnostica richiesta.
