Contenu utile | Processus de mise en œuvre et de validation des fonctions d’instrumentation de sécurité SIF

Thread Content

SIF yunrun.com.cn/news/1713.html Auteur : Jiang Ronghuai, Siemens (Chine) Co., Ltd. Cet article présente, en s’appuyant sur les normes internationales de sécurité IEC61508, IEC61511 ainsi que ANAI/ISA-84.00.01 (IEC61511 Mod), les méthodes de conception des fonctions de sécurité instrumentée (SIF) au sein du cycle de vie de la sécurité dans l’industrie des procédés, grâce aux systèmes de sécurité instrumentée (SIS), l’évaluation et le choix des équipements de sécurité fonctionnelle, la mise en œuvre du SIL et la vérification des fonctions de sécurité. La phase d’analyse est une étape importante du cycle de vie de la sécurité IEC61511. Conformément aux exigences des fonctions d’instrumentation de sécurité (SIF) définies dans les spécifications relatives aux exigences de sécurité, la conception appropriée du système d’instrumentation de sécurité (SlS), le choix des équipements de sécurité fonctionnelle adaptés, ainsi que la validation et la confirmation des fonctions d’instrumentation de sécurité à l’aide de techniques de diagnostic et de test constituent des éléments essentiels de cette phase. Cet article présentera, en se basant sur les exigences des normes et règlements de sécurité, le processus de mise en œuvre et de validation des fonctions d’instrumentation de sécurité. 1. Processus de mise en œuvre de la fonction d’instrumentation de sécurité (SIF) La conception de la fonction d’instrumentation de sécurité (SIF) dans un système d’instrumentation de sécurité (SIS) doit être réalisée conformément aux spécifications des exigences d’instrumentation de sécurité (SRS). En tant que document important sur la vie cycle de la sécurité dans la norme IEC61511, le SRS comprend une liste complète des exigences pour la conception de toutes les fonctions d’instrumentation de sécurité (SIF), comprenant principalement ce qui suit : ① Les dangers et leurs conséquences ； ②Probabilité d’événements dangereux ； ③PID correspondant ； ④Paramètres de mesure du processus et points de coupure ； ⑤Exigences de réponse pour les équipements principaux et auxiliaires ； ⑥Relation entre la mesure du processus et la sortie, y compris la logique, les fonctions algorithmiques et les possibilités – définies pour tous les modes de fonctionnement, tels que fonctionnement normal, normalisé, anormal, arrêt d’urgence, etc ； ⑦Niveau de fiabilité en matière de sécurité requis ； ⑧Période de test cible ； ⑨Taux maximal d’absence de stationnement autorisé ； ⑩Exigence de temps de réponse maximal pour le SIF ； Exigences pour démarrer manuellement le SIF ； ⑪Exigences de réinitialisation SIF (verrouillage ou réinitialisation automatique) ； ⑫Réponse SIF pour le diagnostic des pannes (arrêt automatique, simple alerte ou autre) ； ⑬Exigences d’interface du moteur thermique – Affichage et saisie des variables ； ⑭Exigences en matière de capacité de maintenance en boucle parallèle ； ⑮Temps moyen de récupération après coupure, estimation du temps de redémarrage ； ⑯Conditions environnementales pour le fonctionnement normal et en cas d’urgence. En plus du cylindre intérieur mentionné ci-dessus, il convient également d’ajouter des éléments correspondants en fonction des différentes applications et des exigences propres à différents secteurs. Après avoir confirmé les objectifs de conception du SIF dans le SRS, il convient de procéder au choix des équipements, de déterminer les besoins en redondance, d’identifier les techniques de test pour le SIF, ainsi que de réaliser les calculs de validation du SIF. Le processus de conception simplifié du SIF est illustré à la figure 1. http://yunrun.com.cn/upload/201801/10/201801102357046978.png Figure 1 Processus de conception simplifié du SIF. Au stade de la conception, des calculs statistiques sont effectués pour vérifier si la conception répond au niveau SIL requis. Vérifier que les calculs respectent les spécifications de la norme IEC61508 ou ANSI/ISA 84.00.01 ; les méthodes de calcul couramment utilisées incluent les arbres de défaillance, les modèles de Markov, etc. 2. Sélection des équipements pour les fonctions d’instrumentation de sécurité
Les équipements utilisés pour les fonctions d’instrumentation de sécurité doivent répondre en totalité aux exigences liées à ces fonctions. En plus du choix de matériaux adaptés au processus et répondant aux conditions environnementales, il est également nécessaire d’évaluer la sécurité fonctionnelle de l’instrumentation. Tous les ajustements et modifications de conception doivent être consignés par écrit en tant que partie des archives du projet. Selon ANSI/ISA-84.00.01, les équipements utilisés dans les SIS doivent être certifiés pour atteindre le niveau SIL requis conformément à la norme IEC61508, ou être utilisés de manière raisonnable en se basant sur le principe de l’usage antérieur (ANSI/ISA-84.00.01 Part 1, Section 11.5.3). L’usage antérieur n’est pas défini en détail dans les normes ; on considère généralement qu’une version d’un instrument, ayant fait l’objet de records d’utilisation réussie (sans pannes dangereuses) dans les documents d’utilisation de l’entreprise utilisateur sur de nombreuses années, peut également être utilisée pour des fonctions d’instruments de sécurité sans nécessiter de certification de sécurité. L’Utilisation préalable (Prior Use) exige que toutes les défaillances sur site et tous les modes de défaillance lors de l’utilisation par l’utilisateur soient entièrement documentés, et que ces documents indiquent la version matérielle et logicielle du instrument. Les variations de version du design pourraient rendre les données d’utilisation antérieure (Prior use) invalides. De nombreux utilisateurs demandent aux fabricants d’instruments une assistance concernant l’utilisation préalable (Prior use). Les fabricants font souvent appel à des entreprises ou des organismes tiers pour effectuer des évaluations de différents niveaux d’utilisation préalable (Prior use). Ces évaluations sont réalisées par des experts appartenant à ces entreprises ou organismes tiers (tels que TüV, FM ou E*da), et les fabricants exigent généralement que deux ou plusieurs sociétés d’évaluation collaborent pour mener à bien l’évaluation. 3. Méthodes d’évaluation de la sécurité fonctionnelle des produits ① Évaluation FMEDA L’évaluation FMEDA d’un instrument consiste à effectuer une analyse hardware de cet instrument en utilisant la méthode FMEDA (Failure Modes, Effects and Diagnostics), afin de déterminer ses taux d’inefficacité et ses modes de défaillance. L’FMEDA est une extension de l’FMEA traditionnel ; les ingénieurs en sécurité peuvent utiliser les données obtenues grâce à l’analyse FMEDA pour effectuer des calculs statistiques et des vérifications relatives aux fonctions de sécurité instrumentée (SIF). L’analyse FMEDA inclut le cycle de vie des instruments ainsi que les méthodes de tests de validation efficaces (Proof test) ; le taux de couverture des tests de validation (Proof test) est utilisé pour le calcul effectif de PFH/PFD/PFDavg. Il convient de noter que l’analyse FMEDA ne peut pas servir de condition suffisante pour choisir un produit. ②Évaluation de l’usage antérieur (Prior Use) : L’objectif initial de l’usage antérieur (Prior Use) était de vérifier s’il existait des défauts dans la conception du produit en recueillant des données sur les pannes observées dans des applications réelles sur site. Bien que certains fabricants aident généralement les utilisateurs à fournir des données et des informations sur l’utilisation antérieure d’un équipement, et que d’autres puissent offrir une évaluation des historiques de pannes sur site d’un équipement réalisée par des sociétés ou des organismes d’évaluation indépendants, l’évaluation de l’utilisation antérieure relève de la responsabilité de l’utilisateur final. Les données relatives aux pannes doivent inclure les pannes matérielles et logicielles ; l’évaluation doit couvrir le processus de collecte des données de panne ainsi que le processus de modification des versions du produit. Le fabricant doit fournir des informations suffisamment détaillées sur le processus de collecte des données afin d’assurer leur qualité. La méthode de collecte des données, la complétude des rapports et la pertinence de l’analyse doivent faire l’objet d’un examen rigoureux. Il convient de noter que le taux de défaillance calculé à partir des données d’enregistrement des pannes sur site doit être comparé aux données obtenues par l’analyse FMEDA ; s’il est suffisamment inférieur aux données FMEDA, cela prouve qu’il n’y a pas de défauts majeurs dans la conception du produit. De plus, compte tenu de l’intégrité des données, le taux de défaillance dans les registres des pannes sur site ne peut pas être utilisé pour les calculs de validation du SIL. ③Évaluation complète conformément à la norme IEC61508 : une évaluation complète selon IEC61508 comprend une FMEDA, une analyse des utilisations antérieures (Prior Use), ainsi que des mesures de prévention et de contrôle des défauts dans le développement du matériel et des logiciels du produit. Elle inclut également une analyse détaillée des tests du produit, des modifications apportées, des documents destinés aux utilisateurs et des processus de fabrication. Les enregistrements de données de panne dans l’usage a priori ne reflètent souvent pas l’ensemble des données de panne, en particulier les pannes du système (erreurs système), comme les erreurs logicielles. Certaines pannes logicielles peuvent être résolues par un « réinitialisation » du logiciel ou en changeant l’alimentation électrique, sans nécessiter de « remplacement » ; par conséquent, ces pannes ne peuvent pas être entièrement reflétées dans le rapport de réparation et de remplacement fourni par l’utilisateur au fabricant. Une évaluation complète IEC61508 garantit la fiabilité des données relatives aux erreurs de système. La norme IEC61508 définit diverses techniques matérielles et logicielles de prévention et de contrôle des pannes, destinées à réduire les erreurs système. En particulier, lors de la certification IEC65108 d’un produit, le niveau de sécurité applicable est indiqué clairement, par exemple SIL2 ou SIL3. Le tableau 1 résume brièvement les principes d’évaluation utilisés par différentes techniques d’évaluation. http://yunrun.com.cn/upload/201801/11/201801110015260026.png *Selon l’organisme d’évaluation ; tous les tiers ne le proposent pas. 4. Conception de structure redondante : En plus d’un choix adéquat des équipements, il est également possible d’atteindre le niveau de sécurité requis grâce à une conception redondante des sous-systèmes. Le tableau 2 présente la correspondance entre la marge minimale de défaillance matérielle (HFT) des équipements de terrain et les niveaux SIF, telle que définie par ANSI/ISA-84.00.01. http://yunrun.com.cn/upload/201801/11/201801110020418111.png Le tableau 2 montre clairement qu’il est possible d’obtenir un niveau SIL plus élevé en augmentant la marge de sécurité face aux pannes matérielles ; par exemple, pour les sous-systèmes d’entrée pour lesquels un niveau SIL2 est requis selon le SIF, la conception exige l’utilisation de deux transmetteurs ； Pour le sous-système d’entrée SIL3, l’utilisation de 3 transmetteurs est requise. Si le choix du produit est basé sur la règle de l’Utilisation antérieure (Prior Use), et qu’il respecte les conditions limitatives suivantes. Alors, sous le même HFT, il est possible d’augmenter d’un niveau SIL correspondant : ① Le dispositif ne permet que des ajustements des paramètres liés au processus (par exemple, plage de mesure, seuil supérieur ou inférieur en cas de défaillance) ； ②L’ajustement des paramètres liés au processus dispose de moyens de protection (tels que des mots de passe, etc.) ； ③Le niveau SIL de SIF doit être inférieur à 4. Comme indiqué ci-dessus, sous certaines conditions limitatives, un transmetteur ayant déjà été utilisé (Prior Use) peut également répondre aux exigences SIL 2 ; on peut également utiliser un transmetteur certifié SIL 2. Pour le sous-système de résolveur logique (Logic Solver), il convient généralement d’utiliser des produits certifiés selon la norme IEC 51508, dont le niveau SIL certifié doit être égal ou supérieur au niveau SIL requis dans le SIF. Le tableau 3 présente les exigences de la norme IEC61508 concernant la relation entre le niveau SIL du processeur logique de catégorie B et la marge de tolérance aux pannes matérielles (HFT). http://yunrun.com.cn/upload/201801/11/201801110026400460.png D’après le tableau 3, on peut en conclure que si la valeur SFF est suffisamment élevée, un niveau de sécurité plus élevé peut être atteint sans augmenter HFT ; par exemple, lorsque SFF > 99 %, HFT = 0 (structure monopasse) permet également d’atteindre le niveau SIL 3. 5. Techniques et méthodes de test des SIF : La norme IEC61508 définit trois modes de fonctionnement pour les équipements qui exécutent des fonctions SIF (tableau 4) : le mode de fonctionnement à demande continue (Continuous Demand), le mode de fonctionnement à forte demande (High Demand) et le mode de fonctionnement à faible demande (Low Demand). Pour les équipements fonctionnant dans ces trois modes différents, la relation avec les techniques de test est distincte. ①Mode de demande continue (Continuous Demand) : Étant donné que DI ≤ ATI et DI ≤ PTI, les techniques de test de vérification manuelle ainsi que les techniques de diagnostic automatique n’affectent pas le système à canal unique (loo1) ; ces techniques ne concernent que les systèmes redondants. ②Mode de fonctionnement à forte demande (High Demand) : Comme DI > ATI et DI ≤ PTI, la technologie de test de diagnostic automatique a un impact même sur les systèmes à canal unique (1ool), tandis que la vérification manuelle n’a aucun impact. ③Mode faible demande (Low Demand) : Comme DI > ATI et DI > PTI, les techniques de test de vérification manuelle ainsi que le diagnostic automatique ont un impact sur le système, même pour un système à canal unique (1ool). Dans le domaine de l’industrie des procédés, dans la plupart des cas, les SIF correspondent à un mode de fonctionnement à faible demande (Low Demand). C’est d’autant plus vrai lorsque la couche de protection indépendante est correctement conçue. 6. Vérification de la fonction d’instrumentation de sécurité (SIF) Le tableau 5 présente la relation entre le niveau SIL et la probabilité moyenne de défaillance requise PFDavg dans le mode de fonctionnement à faible demande (Low Demand) prescrit par la norme IEC61508. http://yunrun.com.cn/upload/201801/11/201801110040425427.png La vérification SIF pour le mode de fonctionnement à faible demande (Low Demand) doit inclure : la définition des procédures de test de vérification ； Vérifier la couverture diagnostique par estimation afin de déterminer l’efficacité du programme de tests de validation. Plus précisément, il convient de réaliser des calculs de validation du niveau SIL pour la conception du SIF, conformément aux exigences de la norme IEC61508 ou ANSI/ISA 84.00.01, afin de vérifier si la conception finale du SIF répond aux exigences de conception indiquées dans le SRS. Les méthodes de calcul comprennent l’analyse des arbres de défaillance (Fault Trees), les modèles de Markov (Markov Models), etc., et un rapport de vérification est établi sous forme de fichier. Ci-dessous, sont présentés de manière succincte, à titre d’exemple, les résultats typiques de la conception et des calculs de validation pour les systèmes de circuits SIL2 et SIL3. Exemple 1 : La composition d’un circuit SIL2 typique est présentée à la figure 2. http://yunrun.com.cn/upload/201801/11/201801110110451177.png Les résultats de configuration du circuit SIL2 et des calculs de vérification sont présentés dans le tableau 6. http://yunrun.com.cn/upload/201801/11/201801110130406676.png Description : Dans l’exemple ci-dessus, la sous-unité capteur utilise un transmetteur sûr certifié SIL2 par TüV ; on peut également choisir un transmetteur Prior Use, ou 2 transmetteurs (1oo2), ou 3 transmetteurs (2oo3) ； Pour l’unité sous-élémentaire finale, on a choisi une vanne de coupure DVC dotée d’une fonction PST ; on peut également utiliser 2 vannes de coupure équipées de valves électromagnétiques (1oo2) ； Mais en fin de compte, les résultats des calculs de vérification correspondent au niveau SIL2. Exemple 2 : La configuration typique d’un circuit SIL3 est présentée à la figure 3. http://yunrun.com.cn/upload/201801/11/201801110105193150.png Les résultats de configuration du circuit SIL3 et des calculs de vérification sont présentés dans le tableau 7. http://yunrun.com.cn/upload/201801/11/201801110126380590.png Description : Dans l’exemple ci-dessus, la sous-unité de capteurs utilise 2 transmetteurs sûrs certifiés TüV SIL2 ; la sous-unité d’éléments finaux emploie 2 vannes de coupure DVC dotées de la fonction PST. Il est également possible d’utiliser 2 transmetteurs Prior Use dans la sous-unité de capteurs, ou 3 transmetteurs (2oo3). Mais en fin de compte, les résultats des calculs de vérification correspondent au niveau SIL3. Le choix et la conception des systèmes de contrôle de sécurité et des fonctions de contrôle de sécurité constituent une partie essentielle du cycle de vie de la sécurité dans l’industrie des procédés. Afin de réduire efficacement les risques et de garantir la sécurité des personnes, des biens et de l’environnement, chaque étape du cycle de vie de la sécurité est cruciale, que ce soit à l’étape d’analyse ou aux étapes de mise en œuvre et d’exploitation. Seuls les utilisateurs finaux, les entreprises d’ingénierie et les bureaux d’études qui conçoivent des systèmes de instrumentation de sécurité en se référant aux normes et exigences internationales pertinentes peuvent réduire efficacement les risques et assurer la sécurité des personnes, des biens et de l’environnement.