Comment les techniciens en instrumentation effectuent le calcul SIL pour les systèmes SIS

Thread Content

Le calcul SIL est un processus d’évaluation quantitative de la capacité de sécurité globale du circuit SIF mis en œuvre, afin de vérifier s’il atteint les capacités requises. Dans cet article, Changhui Instruments partage les méthodes utilisées par les techniciens en instrumentation pour effectuer des calculs SIL. Vérification SIL : yunrun.com.cn/product/2846.html Avec la publication du document n° 116 du Troisième Département de supervision de l’Administration générale de la régulation de la sécurité, à partir de 2016, les systèmes d’instruments de sécurité SIS sont devenus un équipement standard pour les installations en service et les nouveaux projets relevant des catégories « deux points clés et un projet majeur ». Les changements de politique ont entraîné une avalanche d’informations sur les systèmes HAZOP/SIL et SIS, ainsi qu’une multitude de termes complexes qui rendent inévitablement la situation déroutante. L’objectif de cet article est de ne pas faire de mystères ni de détours, et d’offrir, dans les termes les plus simples possibles, une explication directe aux ingénieurs en instrumentation qui ne connaissent pas SIL, SIS ou SIF mais en ont entendu parler, sur ce qu’est le calcul SIL. En bref, le calcul SIL est un processus d’évaluation quantitative de la capacité de sécurité globale du circuit de fonction de contrôle de sécurité (SIF) mis en œuvre, afin de vérifier qu’il atteint la capacité requise. Dans l’analyse HAZOP, les ingénieurs de procédés jouent un rôle plus important que les ingénieurs en instrumentation ; ils sont à l’origine des sessions de brainstorming et doivent identifier divers risques potentiels pour proposer des solutions. Cependant, une fois l’analyse terminée et le classement SIL achevé, lorsqu’on passe à la phase de validation SIL et que le circuit SIF est pratiquement finalisé, c’est alors aux ingénieurs en instrumentation qu’incombe la responsabilité principale. Le circuit SIF est également composé d’une « partie de détection – partie de contrôle – partie d’exécution », comme le montre l’image suivante : http://yunrun.com.cn/upload/201912/21/201912210123149990.png Cependant, le système est passé d’un DCS pour le circuit de contrôle à un système d’instruments de sécurité SIS certifié SIL. Les ingénieurs en instrumentation familiarisés avec les circuits de commande se rendront rapidement compte des points communs entre les circuits SIF et les circuits de commande. Personne ne connaît mieux que vous les composants des différentes unités du circuit SIF, et donc personne n’est plus apte à déterminer la capacité SIL de chacun de ces composants. Lorsque votre collaboration est nécessaire pour mener à bien les vérifications SIL, en tant qu’ingénieur en instrumentation, quels préparatifs devez-vous effectuer ? Que vous envisagiez de réaliser vous-même les calculs de vérification ou de les confier à un tiers, certains procédures de base présentées ci-dessous sont inévitables. Étape 1 : Lire le rapport de classification Question 1 : Il faut d’abord comprendre ce que calcule la vérification SIL ? L’objectif de la validation est de calculer le niveau SIL de chaque circuit ainsi que de déterminer si la probabilité moyenne de défaillance requise (PFD) répond aux exigences de classification. Si ce n’est pas le cas, il est nécessaire de revoir le choix et la conception du système de contrôle de sécurité (on peut consulter l’article « Étapes de sélection des systèmes SIS (systèmes de contrôle de sécurité) » sur Baidu) ; si ces conditions sont remplies, la validation est considérée comme réussie. Par conséquent, les résultats de chaque circuit dans le rapport de validation doivent être comparés à la classification de chaque circuit. La probabilité moyenne de défaillance (PFD) a sa propre définition dans les normes ; en termes simples, elle représente le taux de défaillance du dispositif/circuit correspondant. Bien sûr, plus la probabilité est faible, moins il y a de risque d’incident, et donc le niveau SIL est plus élevé. Il ne fait aucun doute que SIL2 représente une sécurité supérieure à SIL1, avec une probabilité moyenne de défaillance (PFD) plus faible. Se souvenir de ce point sera d’une grande aide pour la révision ultérieure des rapports de validation SIL. Un bon départ est la moitié du succès ; un rapport d’évaluation SIL parfait est sans aucun doute la première étape vers le succès. Question 2 : Que signifie « parfait » dans un rapport d’évaluation SIL parfait ? Le rapport de classification SIL doit inclure les éléments suivants : une description complète du circuit SIF et sa structure ； Classement SIL et probabilité moyenne de défaillance (PFDavg) pour chaque circuit SIF. Prenons un exemple parfait : « Pour la section de lavage de la tour de désoxydation SIF16, les trois températures TAHH2102A/B/C (2oo3) entraînent l’arrêt de la bouche d’air d’alimentation en combustion K132 ou la fermeture de MOV0203 (1oo2). »” ； Les numéros de référence des signaux de mesure sont clairement définis, les relations de sélection entre les signaux sont claires (2oo3), les actions à exécuter sont clairement définies, leurs numéros de référence sont également clairs, et les relations entre ces actions sont également bien définies (1oo2) ； Les valeurs PFD et les niveaux SIL sont également bien définis. http://yunrun.com.cn/upload/201912/21/201912210135090380.png Cependant, toutes les descriptions de circuits SIF ne peuvent pas être aussi claires que ci-dessus. Prenons un exemple pas tout à fait parfait : « Arrêt par interblocage de niveau très bas du réservoir d’acide acétique T43201A – fermeture de la vanne XV-43202A ». Pourquoi le numéro de signal de niveau a-t-il disparu ? Cette situation se produit le plus souvent parce que, lors de la phase de classification, le P&ID n’était pas finalisé, ou bien il s’agissait d’un signal prévu pour être ajouté, et le numéro de position n’était pas connu à ce moment-là. À ce stade, il ne reste plus qu’à compter sur les ingénieurs en instrumentation pour trouver les numéros de position correspondants afin de compléter le circuit. Une description imparfaite est un défi auquel les ingénieurs en instrumentation sont confrontés fréquemment, et la plus grande épreuve vient du fait de découvrir que la description des SIF dans le rapport de classification SIL ne correspond pas aux schémas des circuits d’interblocage en main. À ce moment-là, en tant qu’ingénieur en instrumentation, n’a-t-on pas immédiatement ressenti de la panique et de l’anxiété ? La première chose à faire est de déterminer si le rapport de classification en main a été établi avant la conception de l’interblocage, et si des modifications ultérieures ont entraîné des changements dans les circuits d’interblocage. Dans ce cas, demander une mise à jour du rapport de classification SIL est le choix le plus judicieux. Comme mentionné précédemment, la validation SIL dépend entièrement des circuits SIF et de la classification SIL définis dans le rapport de classification ; c’est sur cette base que l’on évalue les résultats des calculs. Si le rapport de classification ne correspond pas à la réalité, alors la validation SIL n’est qu’une pure formalité ； Si le rapport de classification est déjà à sa version la plus récente, il convient de clarifier un concept ici : le circuit SIF n’est pas équivalent au circuit d’interblocage. On peut voir leurs points communs, mais le circuit SIF ne se concentre que sur les actions d’exécution liées à la protection de sécurité. Les actions d’exécution qui ne relèvent pas de la protection de sécurité, mais qui doivent néanmoins être réalisées pour des raisons opérationnelles, ne font pas partie du circuit SIF ; elles peuvent cependant figurer dans le circuit d’interblocage. Voir la comparaison ci-dessous, avez-vous soudain tout compris ? http://yunrun.com.cn/upload/201912/21/201912210146548908.png Face à des rapports parfaits ou imparfaits, comprendre le rapport de classification, évaluer sa fiabilité et son utilité constituent des tâches incontournables pour les ingénieurs en instrumentation sur site. En comparant ce rapport de classification et en indiquant le modèle de chaque composant du circuit SIF, l’ingénieur en instrumentation entame la première étape de son soutien à la validation SIL. Deuxième étape : Collecte des informations. Collecter des informations, c’est simple en théorie mais difficile en pratique. Parmi les informations complexes contenues dans les registres d’instruments, les dossiers fournisseurs, les schémas de processus et les différentes spécifications, quelles sont celles qui sont indispensables et lesquelles peuvent être ignorées ? En réalité, il n’y a pas lieu de s’inquiéter à ce sujet : si l’on fait appel à un tiers pour effectuer les calculs de vérification, ce dernier précisera clairement quelles informations sont nécessaires, et il suffira de les collecter conformément à ces indications. En général, les spécifications de modèle des fabricants d’instruments constituent des exigences de base ; le cycle d’inspection et la durée de vie utile, ainsi que le temps moyen de réparation en cas de panne, doivent également être fournis. Ce sont tous des paramètres nécessaires aux calculs de validation. Le système d’instruments pour l’intégrité de la sécurité SIS n’est pas un système dont on se contente une fois qu’il a été mis en place ; il nécessite une maintenance et des tests périodiques pour garantir sa fiabilité. Il est essentiel de prendre en compte les capacités de maintenance dans ces calculs. Si les ingénieurs en maintenance sur site parviennent, dans le cadre de leur travail quotidien, à prêter une attention particulière aux intervalles entre les pannes des instruments, au temps nécessaire pour les réparer, etc., et à rassembler ces données auprès du fabricant, celles-ci constitueront, des décennies plus tard, d’ précieuses données de preuve d’utilisation en conditions réelles. Quant aux ingénieurs en instrumentation qui envisagent de réaliser eux-mêmes les calculs de vérification, vous êtes déjà au niveau des chasseurs et vous savez donc naturellement ce dont vous avez besoin. Troisième étape : Organiser les certificats. Il s’agit bien sûr de certificats SIL. Le but principal de l’organisation des certificats est de fournir des données de défaillance aux tiers chargés des vérifications. Cela soulève alors une question : le logiciel de vérification disposant déjà d’une base de données intégrée, pourquoi est-il encore nécessaire de collecter des données de défaillance ? Cette question sera expliquée en détail lors du calcul de cette étape. 1. Première règle de l’expérience : trouver le certificat SIL correspondant à l’instrument. Le certificat SIL contient de nombreuses informations : le niveau SIL, les exigences matérielles possibles (HFT), le type (A/B), les données de défaillance (Lambda λ), etc. Le certificat constitue la preuve que cette instrumentation possède les fonctions de sécurité requises. Actuellement, les certificats SIL provenant de diverses sources abondent ; au milieu des vrais et des faux, la crédibilité des données pose également de sérieux problèmes (on conseille de consulter l’article de Baidu intitulé « Changhui Instruments : révélations exclusives sur la façon de distinguer les certificats SIL authentiques des faux »), mais cela relève d’un autre sujet. Mais avec un certificat SIL, c’est comme avoir du riz pour la cuisson des calculs. Lors de la vérification du certificat SIL, il est essentiel de vérifier s’il y a une deuxième page ou s’il contient des données relatives à l’expiration. Les ingénieurs en instrumentation inexpérimentés tombent souvent dans le piège suivant : celui où on leur dit que l’instrument utilisé est certifié, mais que le certificat ne concerne pas le modèle en usage. Faites bien attention ! ； Piège du poids insuffisant : le certificat est bien celui qui correspond, mais il est totalement inutile pour les vérifications, car il ne comporte que sa première page ; bien qu’il fournisse des informations sur le niveau SIL, il ne donne pas les données relatives à son expiration. C’est alors que l’ingénieur en instrumentation doit faire preuve d’une grande persévérance, en demandant au fabricant les données relatives aux défaillances ; celles-ci se trouvent peut-être sur la deuxième page du certificat, ou dans le rapport qui l’accompagne (pour les fabricants qui ne fournissent pas de rapport, félicitations : il s’agit très probablement d’une organisation de certification frauduleuse), ou encore dans le manuel de sécurité. 2. Deuxième règle de l’expérience : que faire en l’absence du certificat requis ? L’efficacité de défaillance souhaitée pourrait apparaître dans les documents suivants. ◆Manuel de sécurité ◆ Certificat de conformité Ces deux types de documents sont généralement fournis par le fabricant lui-même. 3. Troisième principe de l’expérience : lorsque aucune des expériences précédentes n’est applicable, recourir à des données générales constitue une option ; c’est alors aux spécialistes en vérification qu’il revient de juger en fonction du logiciel et de la base de données. Cependant, l’importance des ingénieurs en instrumentation sur le terrain devient alors évidente : ce n’est qu’en s’appuyant sur les types et spécifications d’instruments fournis par ces ingénieurs que les tiers chargés de la vérification peuvent choisir les données appropriées. http://yunrun.com.cn/upload/201912/21/201912210150544114.png Certificat e*da Dans l’image ci-dessus, ce qui est indiqué dans le cadre rouge comprend les informations suivantes : Modèle : Válvule électromagnétique de la série 8314 ； Fabricant : ASCO ； Type : Catégorie A ； Niveau SIL : SIL2 en l’absence de redondance, SIL3 avec redondance à 1, voie 2H ； Données invalides : λSD/SU/DD/DU, les avez-vous toutes trouvées une par une ? Une fois que les données des circuits SIF ci-dessus ont été saisies et que le classement des certificats est terminé, on peut enfin passer à l’étape de calcul. À cette étape, si le calcul est confié à un tiers, l’ingénieur en instrumentation peut se détendre et attendre sereinement. En attendant, découvrons les logiciels de calcul. Les deux logiciels avec lesquels Changhui Instruments a eu affaire jusqu’à présent sont exSILentia et RiskCloud. La plupart des ingénieurs* ont l’habitude d’utiliser Excel pour résoudre des problèmes de calcul complexes nécessitant des relations logiques, mais il est très contraignant de devoir établir ces relations logiques à chaque fois. La vérification des circuits SIF est fastidieuse et très variée : chaque circuit peut avoir une structure différente, utiliser des instruments différents, et chaque projet présente des exigences particulières. Bien que les formules de calcul fournies par les normes restent constantes, comment peut-on disposer d’une structure flexible qui permette d’adapter les calculs en fonction des besoins tout en utilisant les méthodes standard à chaque fois ? À ce stade, Excel semble un peu lourd et peu efficace. exSILentia, développé par la société E*da, bénéficie de la puissante base de données de certificats d’instruments d’E*da ainsi que de plusieurs décennies d’expérience en développement. Conformément aux normes IEC-61508/61511, il intègre des données sur les défaillances et une évaluation des capacités de maintenance, offrant ainsi une plateforme très conviviale permettant aux ingénieurs de concevoir librement des circuits SIF selon leurs besoins. Dans les calculs de validation, exSILentia occupe une place irremplaçable. Cependant, pour les utilisateurs nationaux, bien que ces solutions étrangères sachent fonctionner, elles présentent toujours tels ou tels problèmes lors de leur mise en œuvre. Face aux entreprises pétrochimiques locales qui utilisent massivement des instruments et équipements nationaux, exSILentia ne dispose pas de support pour les marques locales. exSILentia dispose d’une base de données intégrée qui recense les certificats d’instruments de sécurité certifiés par eux. Si l’on choisit des équipements instrumentaux certifiés e*da, il suffit de sélectionner le fabricant et le modèle dans la base de données pour que les données de péremption puissent être prises en compte dans les calculs, ce qui est très pratique. Même sans certificat SIL certifié par E*da, il est encore possible de l’utiliser dans exSILentia. Cependant, il faut que le personnel chargé des calculs utilise la fonction de création d’utilisateur pour saisir manuellement les données correspondantes au certificat. Son utilisation est cependant limitée à ce calcul uniquement. Ces certificats qui ne figurent pas dans sa base de données doivent être réentrés manuellement si l’on souhaite les utiliser dans un projet ultérieur, **ce qui diminue la facilité offerte par le support de la base de données. D’autant plus que des prix si élevés font regretter le rapport qualité-prix déplorable. En revanche, le nouveau venu RiskCloud (Logiciel GeLue) a comblé ces lacunes en temps opportun. RiskCloud (Logiciel GeLue) propose des calculs en ligne : il suffit d’avoir un compte pour accéder aux calculs. Il dispose d’une base de données riche d’indicateurs et de certificats, d’un service après-vente rapide, permettant d’obtenir un soutien technique à tout moment. Quant au prix, il va sans dire que ce logiciel national offre le meilleur rapport qualité-prix. De plus, les modalités de paiement sont flexibles : des comptes temporaires sont disponibles, avec un paiement selon la durée d’utilisation souhaitée. RiskCloud (logiciel GeLue) utilise également la base de données d’E*da, mais elle offre une plus grande capacité d’inclusion par rapport à celle d’E*da : les certificats non émis par E*da y sont conservés, et les utilisateurs sont encouragés à y contribuer leurs propres certificats. Plus il y a d’utilisateurs et de projets, plus d’informations sur les certificats SIL s’accumulent, ce qui rend le système encore plus adapté aux utilisateurs de instruments fabriqués en Chine. Les deux logiciels utilisent tous deux l’algorithme du modèle de Markov. Relativement parlant, exSILentia prend en compte un peu plus de paramètres, mais avec les mises à jour rapides de RiskCloud (logiciel Guelue) au cours des six derniers mois, ses paramètres sont désormais très proches de ceux d’exSILentia, et sous les mêmes conditions, les résultats de calcul sont également très similaires. Les deux logiciels permettent d’exporter les résultats des calculs et des tableaux de rapport, avec peu de différences. ◆Tableaux et graphiques d’exportation du logiciel GeLuee http://yunrun.com.cn/upload/201912/21/201912210155477340.png ◆Tableau des résultats de calcul exportés http://yunrun.com.cn/upload/201912/21/201912210159053909.png ◆Schéma de structure du circuit SIF et diagramme en cercle pour l’analyse des tendances PFD http://yunrun.com.cn/upload/201912/21/201912210208183582.png Après avoir comparé les logiciels, le rapport de validation SIL devrait également être prêt. À ce moment précis, comment l’ingénieur en instrumentation devrait-il examiner le rapport pour déterminer s’il s’agit d’un rapport conforme ? Vous vous souvenez des rapports de classification SIL que vous avez consultés et des tableaux de données des circuits SIF que vous avez remplis ? À ce moment-là, il vous faut les sortir un par un, les ouvrir et comparer avec les calculs détaillés figurant dans le rapport de vérification, afin de vérifier que toutes les informations relatives aux circuits SIF ont bien été saisies correctement. Que ce soit exSlentia ou RiskCloud, ces outils permettent de générer des calculs de vérification détaillés, listant tous les paramètres utilisés et les détails des choix effectués. En plus de vérifier si le circuit SIF répond aux exigences de classification, vous pouvez trouver de nombreux détails dans le rapport de calcul : 1. Quelles normes sont utilisées ? 2. La structure du circuit SIF a-t-elle été saisie correctement ? 3. Les modèles de instruments disposant d’une certification e*da ont-ils été choisis correctement ? 4. Les données des certificats non e*da expirés ont-elles été saisies correctement ? 5. Pour les instruments sans certificat, des données universelles de même spécification et appropriées ont-elles été utilisées ? 6. Correspond-il à l’intervalle de test réel ? 7. Quelle est la probabilité moyenne de défaillance PFD de chaque élément du circuit SIF calculé et du circuit dans son ensemble ? ...... etc. Une des avantages de RiskCloud à ce stade est que le rapport de calcul est en chinois ; il n’y a pas à s’inquiéter comme face aux rapports trop complexes d’exSILentia, qui ne sont pas traduits en chinois et sont entièrement en anglais, ce qui constitue un obstacle. Vous savez lire des rapports, collecter des informations et organiser des certificats. Félicitations, vous avez atteint le premier niveau de la validation SIL.