D’après mon expérience, je vous explique le processus de certification de sécurité des instruments et les points à considérer

Thread Content

Ce post prend comme exemple un barrière de sécurité à entrée numérique ayant obtenu la certification de sécurité fonctionnelle TÜV, afin de présenter le processus de certification de sécurité fonctionnelle conforme à la norme IEC 61508. Il décrit en détail les étapes clés du processus de certification, notamment l’ordre des différentes étapes, les principales tâches à chaque phase, ainsi que les dernières modifications dans les exigences des ingénieurs d’audit certificatifs allemands. Fournit une référence pour l’obtention de la certification de sécurité fonctionnelle pour des produits tels que les dispositifs de test et de contrôle de processus. Vers 2010, de nombreuses unités de CNPC et Sinopec exigeaient explicitement dans leurs cahiers des charges la présence d’un certificat de certification en matière de sécurité fonctionnelle lors du choix des équipements. Sans certification de sécurité fonctionnelle, les fabricants d’instruments manquaient de nombreuses opportunités de participation. Peu à peu, on a pris conscience de l’importance de cette certification, et l’on a commencé à se préparer activement à l’obtenir. Je crois que certaines personnes ressentent la même chose : au début de la certification, elles sont perdues et ne savent pas par où commencer. Cet article présente, à partir de l’expérience pratique de certification de la sécurité fonctionnelle des barrières de sécurité à entrées numériques, les exigences de certification, le processus de certification et les points d’attention. Processus de certification de la sécurité yunrun.com.cn/news/1940.html Le rôle de la certification de la sécurité fonctionnelle dans la sécurité de l’industrie moderne – je n’entrerai pas ici dans des explications trop détaillées ; de nombreux articles professionnels en ligne décrivent l’importance de la sécurité fonctionnelle. Cet article présente principalement le processus de certification de la sécurité fonctionnelle, à l’aide d’un paravent de sécurité à entrées numériques, en se basant sur la norme IEC 61508. 1. En tant que barrière de sécurité certifiée anti-explosion, pour pouvoir pénétrer sur le marché international, ce produit doit respecter les exigences obligatoires de certification anti-explosion internationale ; il est nécessaire d’obtenir la certification anti-explosion correspondante avant toute certification en matière de sécurité fonctionnelle. De nombreuses organismes de certification fournissent des informations sur le processus de certification anti-explosion IECEX. ①L’organisme demandeur soumet par écrit une demande de certification à l’organisme de certification agréé par le système IECEX, ainsi que les documents relatifs au produit. Une fois l’organisation ayant accepté la demande, l’entité demanderesse signe un contrat de certification avec l’organisme de certification. ②L’organisme de certification effectue un contrôle de type anti-explosion sur les produits soumis à certification (y compris l’examen des documents techniques relatifs à la protection anti-explosion et les essais sur échantillons) ； Vérifier le rapport d’essai anti-explosion. ③L’organisme de certification effectue une inspection des conditions de qualité en usine auprès de l’unité de fabrication qui demande la certification. ④L’organisme de certification évalue les résultats des essais de type et ceux des inspections en usine ; en cas de conformité, il délivre un certificat de certification IECEX. ⑤L’organisme de certification effectue une surveillance annuelle des entités demanderesse. En réalité, comme l’évaluation de l’intégrité de sécurité des instruments est nécessaire pour les audits de certification en matière de sécurité fonctionnelle, il est possible que des modifications soient apportées aux circuits, ce qui affecte les paramètres anti-explosion ； Lors de l’audit pour la certification anti-explosion, des ajustements du circuit peuvent être requis, et l’intégrité de sécurité du produit doit être réévaluée. Il est donc recommandé de procéder simultanément à la certification anti-explosion et à la certification de sécurité fonctionnelle, afin d’éviter des pertes inutiles en temps, en personnel et en coûts. Selon une grande expérience en collecte de preuves au sein des entreprises, il est recommandé de soumettre d’abord les plans théoriques pour la certification anti-explosion ainsi que l’évaluation à la phase conceptuelle de la certification de sécurité fonctionnelle. Une fois l’examen des plans liés à la protection contre les explosions validé, on peut passer aux analyses FMEA, aux tests FIT et aux essais EMC/environnementaux pour la certification de sécurité fonctionnelle. Une fois cela achevé, le schéma fonctionnel et le schéma électrique pourront être définitivement établis, ce qui permettra de poursuivre avec l’élaboration des documents nécessaires à la certification anti-explosion, les tests du prototype, l’audit de l’usine, etc. 2. Certification de la sécurité fonctionnelle Le processus de certification de la sécurité fonctionnelle peut être divisé en gros en l’examen de la phase conceptuelle, l’examen de la phase d’inspection principale, l’audit d’usine, ainsi que la révision et délivrance du certificat en Allemagne ； Si l’on va plus en détail, les principales tâches peuvent être divisées en gestion et évaluation des documents de conception et de développement, calcul et évaluation de la fiabilité du matériel, essais d’EMC (compatibilité électromagnétique), essais environnementaux, etc. Cet article présente le processus de certification de la sécurité fonctionnelle en prenant comme exemple la barrière de sécurité à entrées numériques. La barrière de sécurité à entrées numériques est conçue comme un circuit entièrement matériel et ne nécessite pas d’évaluation de l’intégrité de la sécurité logicielle ; d’autres instruments peuvent quant à eux nécessiter une telle évaluation. Barrière de sécurité yunrun.com.cn/product/list_85.html ① Phase conceptuelle ◆ Plan de sécurité (PS) Le plan de sécurité définit l’organisation du projet, les membres et leurs qualifications, la segmentation du cycle de vie de la sécurité, les mesures pour éviter les pannes, les procédures de gestion des changements, la gestion des configurations, etc. http://yunrun.com.cn/upload/201804/25/201804252126471238.png Figure 1 Organigramme du projet ◆ Plan de vérification et de validation (VVP) Le plan de vérification et de validation définit les activités de vérification à chaque étape du cycle de vie de la sécurité, ainsi que les fichiers d’entrée et de sortie et les personnes chargées de la vérification. ◆ Spécification des exigences de sécurité (SRS) : la Spécification des exigences de sécurité définit les fonctions de sécurité, les états de sécurité, les descriptions et paramètres d’entrée/sortie, les temps de réponse en cas de panne, le niveau d’intégrité de sécurité SIL, la proportion de la barrière de sécurité dans l’ensemble du circuit de sécurité (valeur recommandée par TUV : 10 %), le score d’échec de sécurité SFF, la marge de tolérance aux pannes matérielles, l’intervalle de vérification et de test, les modes de fonctionnement, les exigences environnementales, etc. ◆ Concept de sécurité (CS) : Dans le concept de sécurité, on définit le diagramme de fiabilité, le diagramme fonctionnel (où les parties liées à la sécurité sont distinguées par une couleur différente), les fonctions de chaque bloc fonctionnel, les mesures de diagnostic utilisées par chaque bloc fonctionnel (conformes au niveau SIL correspondant), l’intervalle des tests de diagnostic pour chaque bloc fonctionnel, ainsi que la manière dont chaque bloc fonctionnel passe en état de sécurité après diagnostic. En réalité, afin de garantir que le score d’échec en matière de sécurité répond aux exigences du niveau SIL et de réduire les ajustements ultérieurs dans la documentation, les barrières de sécurité certifiées par notre entreprise subissent d’abord une simple dégradation des performances ainsi qu’une analyse FMEA pour identifier au préalable les défauts de conception graves. ◆ Un autre document très important qui traverse tout le cycle de certification est le tableau de suivi des exigences : dans les documents tels que la spécification des exigences de sécurité (SRS), le concept de sécurité (SC), le plan de test (TP) et le rapport de test (TR), chaque élément lié à la sécurité est numéroté (SR1, SC1, TP1, TR1, etc.) afin d’indiquer les relations entre ces éléments dans différents documents, facilitant ainsi leur suivi mutuel. Les observations de l’organisme de certification sont envoyées à l’entité demanderesse sous forme de document LOP. Après plusieurs rounds de modifications, lorsque toutes les observations de l’organisme de certification ont été traitées dans le LOP, cela signifie que la barrière de sécurité a réussi l’évaluation de phase conceptuelle par l’organisme de certification, et la certification entre alors dans la phase d’inspection principale. ② Phase d’essai principal : Tâches de la phase d’essai principal : tests fonctionnels, de sécurité et environnementaux supplémentaires, afin de vérifier si les fonctions de sécurité définies et le niveau SIL sont atteints. ◆ Rapport de réduction de capacité : Rhein TUV exige une réduction de capacité du composant, en choisissant la condition la plus stricte entre le principe du 2/3 et la réduction de niveau 2 prévue dans GJB/Z 35-93 ； Pour la réduction de la capacité des fusibles des appareils intrinsèquement sûrs, des diodes Zener, etc., les exigences de la norme nationale GB 3836 s’appliquent. Si un composant dégradé ne répond pas aux exigences de dégradation, il est nécessaire de choisir à nouveau un composant approprié. Tableau 1 : Réduction de capacité – Nom du composant, Spécifications, Paramètres de réduction, Exigences du manuel, Valeur réduite théorique, Valeur réduite réelle, Réduction réelle effective, Conclusion
Inductance L1 422776156 Courant transitoire (A) 0,8 0,67 0,06 0,09 Accepté Tension de rupture du matériau isolant (V) 800 0,5 30 0,0375 Accepté Courant de fonctionnement (A) 0,4 0,6 0,03 0,075 Accepté Température thermoelectrique (°C) 85 THS-(25~10) 60,063 Inférieur à THS-(25~10) Accepté Condensateur C1 C2012N102N101T Tension de fonctionnement (V) 100 0,6 29 0,299 Accepté Température ambiante maximale autorisée (°C) 125 TAM-10 60 Inférieur à TAM-10 Accepté ◆ Rapport d’analyse FMEA a. Détermination de la structure du produit : selon le diagramme de fiabilité, le dispositif entier est décomposé en plusieurs blocs fonctionnels. b. Choisir une base de données de fiabilité appropriée ; la valeur de référence du taux de défaillance du composant λref peut être obtenue en consultant la base de données SN 29500 de Siemens, ou directement auprès du fabricant ； L’exigence de niveau de confiance pour le calcul est de 70 % ; si le fabricant fournit un niveau de confiance de 60 %, une conversion est nécessaire : λ70 % = λ60 % × 1,204 / 0,917. c) Détermination des conditions environnementales (température, pression, etc.) : lors de l’analyse FMEA, il faut utiliser les données réelles de tension, de courant et de température du composant, en se référant à la base de données Siemens, afin de calculer la valeur réelle du taux de défaillance λréel. d. En se référant aux modes de défaillance des composants et aux proportions respectives de chacun de ces modes indiqués à l’annexe D de la norme IEC 62061, on calcule séparément la somme des taux de défaillance de chaque bloc fonctionnel ainsi que le score de défaillance de sécurité SFF. Il est exigé que la valeur SFF de chaque bloc fonctionnel corresponde au niveau SIL approprié. Tableau 2 Calcul du score de défaillance de sécurité des blocs fonctionnels
Nombre d’ID Spécification Fonction Mode de défaillance Impact de la défaillance Critère de danger Mesures de diagnostic
DC λ λs λD λDD λDU SFF U6 1 MAX3256 Pont complet Ouverture Circuite ouverte, aucun impact ou perte de sortie, passage en état sûr 0 Aucun 0 16,4 3,28 3,28 0 0 Court-circuit entre n’importe quelles deux extrémités Circuite ouverte, aucun impact ou perte de sortie, passage en état sûr 0 Aucun 0 3,28 0 0 0 Blocage Circuite ouverte, aucun impact ou perte de sortie, passage en état sûr 0 Aucun 0 3,28 0 0 0 Oscillation parasite de la sortie Perte de la fonction de sécurité 1 Aucun 0 0 3,28 0 3,28 Changement de valeur Circuite ouverte, aucun impact ou perte de sortie, passage en état sûr 1 Aucun 0 3,28 0 0 0
C62 2 0603 5 % Filtrage Ouverture Aucun impact 0 Aucun 0 44 14,67 0 0 0
C43 CL10F101 Court-circuit Ouverture de F3, perte de sortie, passage en état sûr 0 Aucun 0 14,67 0 0 0
Changement de valeur Aucun impact 0 Aucun 0 14,67 0 0 0
Total 60,4 57,12 3,28 0 3,28 0,9457
◆ Couverture de diagnostic DC : La couverture de diagnostic dépend des mesures prises ; ses valeurs sont d’environ 60 %, 90 % et 99 %. Les tableaux A.2 à A.15 de la norme IEC 61508-2 présentent les techniques et mesures recommandées pour les tests de diagnostic. Le diagramme de fiabilité de la barrière de sécurité à deux entrées numériques et deux sorties est présenté à la figure 3. Conformément aux dernières exigences des ingénieurs certifiés en Allemagne, les relais doivent être évalués en tant que blocs fonctionnels distincts et intégrés à l’analyse FMEA. Il existe une défaillance commune entre l’alimentation et l’entrée ; on calcule le PFD et le PFH. http://yunrun.com.cn/upload/201804/25/201804252058206101.png Figure 2 Diagramme de fiabilité et calcul du PFD ◆ Test d’insertion de défaut (Fault Insert Test) Le test FIT est utilisé par les organismes de certification pour vérifier la correction du rapport FMEA. Si les résultats des tests FIT ne correspondent pas au FMEA, il est nécessaire de revenir à l’étape de conception pour effectuer des modifications, ou bien de modifier le rapport FMEA en fonction des résultats mesurés, de recalculer le score de défaillance de sécurité et le taux de défaillance, afin de déterminer le niveau SIL. ◆ Essais de performance, essais EMC/environnementaux : conformément aux exigences de GB 3836, les barrières de sécurité doivent faire l’objet d’essais de type stricts ； En même temps, conformément aux exigences VVP, la barrière de sécurité doit subir des tests de performance globale afin de vérifier l’exécution de ses fonctions de sécurité. Les exigences de test EMC pour les barrières de sécurité dotées de sécurité fonctionnelle, les normes de référence ainsi que les niveaux d’essai se réfèrent aux exigences de l’annexe E de la norme IEC 2061, où des exigences de test renforcées s’appliquent pour les essais de décharge électrostatique, de groupe de impulsions rapides et de surtension. ◆ Pour les barrières de sécurité ayant des exigences en matière de sécurité fonctionnelle, leurs documents de système doivent répondre à la fois aux exigences du système de management et à celles de la norme IEC 1508, afin d’assurer la bonne exécution de toutes les tâches au cours du cycle de vie de la sécurité. ◆ Manuel de conception : Le manuel de conception est un document de base élaboré pour assurer les fonctions de conception, comprenant des informations sur la coque, les exigences structurelles, le principe de fonctionnement, la liste des composants et les fonctions, présentées autant que possible sous forme de diagrammes conformément aux exigences standards. ◆ Rapport de vérification : La vérification est une activité d’auto-contrôle menée par le fabricant après l’assemblage, incluant un rapport de conformité en matière de sécurité électrique et un rapport de tests de valeurs limites. ◆ Exigences de production Les exigences de production sont des normes établies par le fabricant pour réaliser les fonctions, y compris les exigences fonctionnelles, les exigences de sécurité et les exigences environnementales. ◆ Manuel d’utilisation Le manuel d’utilisation est un document qui décrit les spécifications du produit, ses fonctionnalités, son installation et son utilisation, son fonctionnement ainsi que les tests de validation, et il comprend des conseils de sécurité, des instructions d’utilisation, des informations sur la résolution des pannes, etc. Le but de l’audit des documents de gestion est de vérifier si les moyens et les bases permettant de répondre aux exigences de sécurité sont suffisants et raisonnables, si le contenu des documents répond aux besoins des différentes étapes du cycle de vie de la sécurité, et s’ils peuvent servir de base pour l’audit visant à obtenir une certification de sécurité fonctionnelle. Lorsque tous les documents ci-dessus ont été examinés avec succès, l’organisme de certification organise la délivrance du certificat de sécurité fonctionnelle des instruments. Actuellement, de nombreux instituts de recherche en sécurité fonctionnelle ainsi que des organismes de test associés, tels que l’Institut de instrumentation automatique de Shanghai et l’Institut technique et économique intégré pour les instruments de l’industrie mécanique, ont commencé à offrir des services de certification en sécurité fonctionnelle dans le pays. Le nombre de personnel augmente constamment, tout comme son niveau de compétence ; par conséquent, la certification en sécurité fonctionnelle pour les instruments à barrières de sécurité peut être réalisée en Chine. Chaque organisation présente de nombreuses différences en termes de pratiques et de perceptions ; il est donc conseillé de se pencher en profondeur sur la norme IEC 6508, en tenant compte des caractéristiques réelles des produits de son entreprise, sans s’en tenir à des modèles prédéfinis, afin d’obtenir au plus tôt le certificat de sécurité fonctionnelle. Auteur : Zhang Hongyun