Présentation de la sécurité fonctionnelle des systèmes de contrôle de sécurité (SIS)

Thread Content

Dernière modification de ce post par live859 le 8/11/2019 à 09:19. Présentation de la sécurité fonctionnelle des systèmes d’instrumentation de sécurité – I. Introduction : Le document « An Jian Zong Guan San 116 » émis par l’Administration générale de la surveillance de la sécurité pose des exigences spécifiques pour l’évaluation des systèmes d’instrumentation de sécurité (SIS), notamment en vue de renforcer davantage la gestion du cycle de vie complet de ces systèmes, d’accélérer la réglementation de leur mise en place dans les nouveaux projets dès la phase initiale, et de promouvoir activement l’évaluation des systèmes d’instrumentation de sécurité déjà en service. De plus : les installations en service devront achever l’évaluation et l’amélioration de leurs systèmes de contrôle de sécurité d’ici la fin de 2019 ; les installations anciennes ainsi que les nouveaux projets qui ne disposent pas de tels systèmes ou pour lesquels aucune classification SIL n’a été effectuée ne recevront pas de nouveau certificat de sécurité au travail. À l’avenir, les travaux liés aux systèmes de contrôle de sécurité seront de plus en plus nombreux et importants. C’est pourquoi cet article présentera les connaissances relatives à la sécurité fonctionnelle des systèmes de contrôle de sécurité. Les normes IEC61508, IEC61511, ISA84, etc., décrivent en détail le cycle de vie global des systèmes de contrôle de sécurité. Il s’agit d’un processus structuré, où les activités de chaque étape ne sont pas isolées ; il s’agit en réalité d’un système complet, présentant entre ses différentes composantes des relations logiques et une certaine séquence. Le cycle de vie de la sécurité des systèmes de contrôle de sécurité SIS est divisé en 3 phases : la phase d’analyse, la phase de mise en œuvre et la phase de fonctionnement. Lors de la phase d’analyse, la gestion des risques consiste principalement en l’analyse des dangers et des risques, ainsi que dans la confirmation des mesures visant à les réduire. Lors de la phase de mise en œuvre, il est nécessaire de prendre en compte les technologies, la structure et les intervalles de test du système SIS, ainsi que d’évaluer l’availability et la sécurité du système afin de répondre à ses exigences de performance. Enfin, pendant la phase de fonctionnement, il est nécessaire de procéder à un contrôle de sécurité avant le démarrage ; les ingénieurs doivent vérifier si le système répond à toutes les exigences de sécurité et si tous les circuits SIF respectent les exigences de niveau SIL. De plus, des documents détaillés doivent être tenus à jour à chaque maintenance et modification du système. Le cycle de vie des systèmes de contrôle de sécurité commence par l’identification des dangers, généralement à l’aide de la méthode d’analyse HAZOP ou de méthodes similaires comme WHAT-IF, afin de repérer les scénarios d’accidents à risque élevé. Ensuite, une analyse semi-quantitative est menée sur ces scénarios à haut risque, où l’on utilise généralement la méthode d’analyse des couches de protection (LOPA) pour déterminer s’une fonction de contrôle de sécurité SIF est nécessaire, tout en précisant les exigences en termes de niveau SIL pour les circuits SIF. Ensuite, il convient d’établir dans le cahier des charges des exigences de sécurité (SRS) les exigences techniques relatives aux fonctions de contrôle de sécurité SIF, y compris le niveau SIL, les intervalles de test, les exigences de fiabilité, ainsi que les entrées et sorties. Une fois le niveau SRS déterminé, l’étape suivante consiste à effectuer une validation SIL pour le circuit SIF. Conformément aux exigences du cahier des charges des exigences de sécurité (SRS), il faut collecter les données relatives aux défaillances des équipements du circuit SIF ainsi que les contraintes architecturales, afin de calculer le niveau SIL atteint par ce circuit. Enfin, il y a la phase de fonctionnement, qui nécessite une maintenance périodique, des tests en ligne et des vérifications hors ligne afin d’assurer les performances du système. II. Système d’instrumentation de sécurité (Safety Instrumented System) Le système d’instrumentation de sécurité (SIS) est un système composé de capteurs, d’opérateurs logiques et d’éléments de contrôle finaux. Il a pour but de maintenir l’installation en état de sécurité lorsque les conditions de fonctionnement s’écartent de la normale. Les fonctions du système de contrôle de sécurité comprennent, 1, la surveillance de l’état du processus de production afin de déterminer s’il existe des conditions de danger potentielles. 2. Lorsque des conditions dangereuses se présentent, il exécute automatiquement les fonctions de sécurité instrumentées (SIF) prévues pour empêcher la survenue d’événements dangereux. En d’autres termes, une fois que le système de sécurité instrumenté a exercé ses fonctions de sécurité normales, aucun événement dangereux ne se produit. 3. Atténuer les effets des événements dangereux, c’est-à-dire réduire le risque en diminuant les pertes ou les conséquences négatives. Dans certains cas, le but du système de contrôle de sécurité est d’assurer les fonctions de sécurité afin de réduire les risques, ou plus précisément, la probabilité qu’un danger potentiel se produise. Dans d’autres cas, le but de la fonction de sécurité instrumentée est d’atténuer les conséquences d’un événement dangereux déjà survenu, tandis que dans d’autres cas, il s’agit d’une combinaison des deux. La FSI, c’est-à-dire la fonction de sécurité instrumentée, reflète la capacité du système de sécurité instrumentée à exécuter efficacement ses fonctions de sécurité ; chaque fonction de sécurité instrumentée vise à protéger contre des scénarios de risques spécifiques. Dans les fonctions de sécurité instrumentée, les actions clés varient en fonction des scénarios d’accidents dangereux considérés. Dans les systèmes réels, il est nécessaire d’avoir une compréhension approfondie de divers aspects tels que la commande, les équipements et les processus industriels pour concevoir correctement les fonctions d’instrumentation de sécurité SIF. Le système d’instruments de sécurité SIS comprend plusieurs fonctions d’instruments de sécurité SIF. Un capteur ou un actuateur peut appartenir à plusieurs SIF (circuits de fonctionnement de sécurité), par exemple, si la valeur d’un paramètre surveillé par le capteur S-1 dépasse la valeur prédéfinie, cela peut faire agir l’élément d’exécution n°6. En même temps, le capteur S-2 peut également faire fonctionner l’élément d’exécution n°6. Les niveaux SIL correspondant à différents SIF peuvent varier, car le risque associé aux scénarios d’accident hypothétiques pour chaque circuit SIF n’est pas identique. De même, pour un circuit SIF dans deux scénarios d’accident, le niveau SIL requis peut également être différent. On ne peut pas dire que l’ensemble du système SIS est de niveau SIL-1. Les différences entre les systèmes de contrôle instrumenté de sécurité (SIS) et les systèmes de contrôle de processus de base (BPCS) prêtent à confusion pour de nombreux débutants : puisque, d’un point de vue structurel logique, ces deux types de systèmes se ressemblent fortement, pourquoi faut-il alors faire une distinction ? Maintenant, parlons de leurs différences. 1. Les deux exécutent des fonctions différentes ; le système de contrôle de processus de base est un système qui assure le contrôle des processus de production ordinaires. Selon les statistiques, plus de 95 % des systèmes de contrôle dans l’industrie sont des systèmes de contrôle de processus de base. On peut donc voir que le BPCS exécute des fonctions de contrôle de production de base afin de répondre aux exigences d’un fonctionnement normal du processus de production. Le SIS, quant à lui, surveille l’état du processus de production, détecte les conditions dangereuses et empêche la survenue d’accidents. 2. Les deux systèmes présentent des états de fonctionnement différents : le SIS est passif et en veille, tandis que le BPCS est actif et dynamique ; il est conçu pour répondre aux besoins de production, ce qui exige qu’il fonctionne de manière dynamique afin de maintenir un fonctionnement continu et stable du processus de production. 3. En cas de défaillance, les deux systèmes présentent des comportements différents. La plupart des pannes du BPCS sont évidentes : par exemple, si, au cours du processus de production, on n’atteint pas un état de commutation spécifique, cela affecte nécessairement la production normale, ce qui fait apparaître la panne. Comme le système SIS est en état de veille la majeure partie du temps, il est difficile de détecter s’il y a une panne ou des problèmes cachés. Par conséquent, le système SIS a besoin d’un système de tests d’autodiagnostic, ainsi que de tests périodiques hors ligne et en ligne. La définition de SIL dans la norme IEC61508 est : la probabilité qu’un système lié à la sécurité exécute ses fonctions de sécurité prescrites, dans des conditions données et sur une période donnée. Le but de choisir un niveau d’intégrité de sécurité est de réduire les risques à un niveau acceptable en diminuant la probabilité de leur survenue. Les niveaux SIL définis dans les normes IEC61508 pour le « mode de fonctionnement à exigences élevées » et le « mode de fonctionnement à exigences faibles » diffèrent. Le mode de fonctionnement à faibles exigences désigne un système de contrôle de sécurité pour lequel la fréquence des exigences opérationnelles n’est pas supérieure à une fois par an, ou égale à deux fois la fréquence des tests de fonctionnalité. Niveau d’intégrité de sécurité SIL : en termes simples, le SIL est une mesure de la fiabilité de la sécurité. Chaque niveau SIL représente un ordre de grandeur de réduction du risque : par exemple, un dispositif de sécurité SIL-1 permet de réduire la fréquence d’un accident d’un ordre de grandeur, tandis qu’un SIL-2 réduit la fréquence du risque de deux ordres de grandeur. L’Agence britannique pour la santé et la sécurité HSE a enquêté sur 34 accidents causés directement par des défaillances des systèmes de contrôle et de sécurité, et les résultats ont montré que 44 % des accidents étaient dus à des normes de exigences de sécurité inappropriées. La deuxième catégorie de causes majeures d’accidents est constituée des modifications apportées après la mise en service, représentant 21 %. Il est donc évident de l’importance de s’assurer que les spécifications des exigences de sécurité soient correctes ; en d’autres termes, le système peut bien remplir les fonctions prévues par son conception, mais ces fonctions ne sont pas pour autant correctes. Parmi les accidents causés directement par une défaillance du système de contrôle mentionnés précédemment, 44 % sont dus à des normes de exigences de sécurité inappropriées. Alors, comment établir des normes de exigences de sécurité pour les SIF ? Définition dans la norme IEC61511 : Spécification qui englobe toutes les exigences des fonctions de contrôle de sécurité (SIF). Son objectif est de définir les exigences nécessaires pour des informations détaillées sur la sécurité des procédés. Avant la rédaction des spécifications des exigences de sécurité, nous devons collecter les informations suivantes : 1. Conception de la sécurité des processus conceptuelle. 2, Analyse des dangers et évaluation des risques, 3, Application des couches de protection pour les systèmes de contrôle non sécurisés. 4. Déterminer le niveau d’intégrité de sécurité pour les fonctions instrumentaires de sécurité essentielles. Ces contenus doivent être valides et complets. Si ces processus n’existent pas ou ne sont pas parfaits, peu importe le temps consacré à l’élaboration des normes du système, les exigences de sécurité finales seront inexactes. Lorsque les spécifications des exigences de sécurité exigent que le circuit SIF atteigne un niveau d’intégrité de sécurité SIL-2, comment devrions-nous concevoir l’architecture du système ? Si nous utilisons des capteurs, des contrôleurs logiques et des éléments d’exécution finaux de niveau SIL-2 pour former une structure 1oo1, peut-on atteindre le niveau SIL-2 pour le circuit SIF ? La réponse est qu’il n’est pas nécessaire d’atteindre le SIL-2. En effet, la probabilité moyenne de défaillance dangereuse globale du circuit de commande de sécurité PFD est approximativement égale à la somme des probabilités moyennes de défaillance dangereuse de chaque composant : le capteur, le contrôleur logique et l’élément d’exécution final. On pourrait alors envisager d’utiliser des équipements SIL-3 pour réaliser les circuits SIF de niveau SIL-2, ce qui entraînerait probablement des coûts bien plus élevés. Nous prenons donc davantage en compte des structures redondantes pour y parvenir. Comme 1oo2, 2oo3, etc. On observe ici une structure redondante 1oo2, 2oo2, 2oo3. Dans la structure 1oo2 initiale, tant qu’un seul équipement est en bon état, le système ne subira pas de défaillance dangereuse, ce qui permet de réduire considérablement la probabilité de telles défaillances. Cependant, la probabilité de défaillance de sécurité augmente, car dès qu’un équipement subit une défaillance de sécurité, cela provoque l’arrêt anormal du système. Si l’on choisit une structure redondante 2oo2, il est nécessaire que deux équipements détectent simultanément une déviation des paramètres de procédé pour que le circuit de fonctionnement des instruments de sécurité s’active. Cela réduit clairement la probabilité d’une défaillance de sécurité (disponibilité), c’est-à-dire l’impact des arrêts intempestifs. La structure redondante de 2oo2 diminue considérablement la sécurité du système et augmente la probabilité de défaillances dangereuses. Les structures 1oo2 et 2oo2 ne peuvent soit pas répondre aux exigences de sécurité, soit pas répondre aux exigences de fiabilité ; c’est pourquoi on choisit souvent la structure redondante 2oo3, qui prend en compte à la fois les défaillances de sécurité et les défaillances dangereuses, représentant ainsi une solution de redondance relativement équilibrée. Pour plus de détails, veuillez regarder la vidéo………… – Li Qiang, chef de produit chez Hangzhou Haopeng Technology Co., Ltd