Vérification du niveau d’intégrité de sécurité (SIL) – Comparaison des méthodes de calcul du PFD 《Traduit》

Thread Content

Résumé : La norme IEC61511 stipule clairement que, pour chaque exigence SIF, la probabilité de défaillance PFD doit être égale ou inférieure à la valeur cible de défaillance spécifiée dans les spécifications des exigences de sécurité, et doit être confirmée par des calculs. L’auteur a effectué la vérification du niveau d’intégrité de sécurité (SIL) pour un projet réel en utilisant respectivement la méthode des diagrammes de fiabilité, la méthode de l’arbre des pannes et la méthode des modèles de Markov (avec calcul par logiciel), afin de comparer ces trois méthodes principales de calcul PFD pour la vérification SIL. Le processus de validation SIL comprend principalement : la création d’une équipe de validation (professionnels) ； Préparation des documents (liste SIF, le tableau doit inclure les circuits de commande de sécurité et leur niveau SIL cible, les informations sur les équipements de mesure utilisés, les données relatives aux défaillances des équipements, ainsi que les périodes d’inspection et de test) ； Modélisation de la fiabilité ； Calcul logiciel (calcul de la note de défaillance de sécurité (SFF), combinée à la marge de fiabilité du matériel (HFT), pour déterminer le niveau d’intégrité de sécurité des contraintes architecturales) ； Sur la base des données de défaillance et des modèles de fiabilité, on calcule la probabilité de défaillance PFD requise, ainsi que le cycle d’essais nécessaire pour respecter les exigences SIL ; de plus, selon les besoins de l’entreprise, on peut également calculer le taux d’arrêts indésirables des processus critiques ； Rapport de sortie (résultats des calculs, évaluation de la conformité, périodes d’essais et tests nécessaires pour respecter les exigences SIL ainsi que mesures recommandées, etc.). Cet article ne discute que les avantages et inconvénients de trois méthodes différentes pour la probabilité de défaillance PFD dans les cas où des exigences de calcul sont présentes. Exemple de projet : Lorsque le niveau de liquide dans l’équipement est trop élevé, une interconnexion ferme les groupes de vannes à vapeur (FCV-01-681 et EV-010656) ainsi que la vanne PCV-01-616, afin d’éviter que la haute pression à l’intérieur de l’équipement ne provoque des accidents, entraînant des blessures ou des dommages aux équipements. La procédure est présentée à la figure 1 : la structure d’entrée/sortie du circuit de niveau de liquide SIF est indiquée dans le tableau 1, les données relatives au taux d’échec du circuit sont présentées dans le tableau 2, et les résultats de la validation SIL du circuit figurent dans le tableau 3. Tableau 1 Entrées et sorties du circuit de verrouillage de niveau
Nom du circuit : Circuit de verrouillage de niveau
Mode de délibération : 2oo3
Unité d’entrée : LT_01-658A/B/C2oo3
Unité de traitement logique : PES1oo2D
Unités de sortie : FCV-01-681/EV-01-656, PCV-01-6162oo2
Note : Pour l’ensemble du groupe, le groupe de vannes FCV-01-681/EV-01-656 est de type 1oo2

Tableau 2 Données de taux de défaillance du circuit de verrouillage de niveau
Nom λDD λDU λSD λSU
Type de structure TIM TTR
Capteur de niveau 6,22E-08 7,18E-08 7,97E-08 1,02E-07
B3 – 8 heures
Barrière de sécurité 3,00E-08 1,10E-07A – 36 mois, 8 heures
Processeur 1,10E-06 1,50E-08 1,30E-06 6,0E-09B – 36 mois, 4 heures
Alimentation électrique 2,25E-06 2,50E-07B – 36 mois, 4 heures
Carte DI 1,30E-08 2,70E-08 1,30E-08B – 36 mois, 4 heures
Carte DO 2,00E-08 1,20E-08B – 36 mois, 4 heures
Actuateur 5,60E-07 3,00E-07A – 36 mois, 8 heures
Vanne sphérique 1 5,30E-07A – 36 mois, 8 heures
Vanne sphérique 2 7,10E-07A – 36 mois, 8 heures
Vanne à ailettes 2,75E-06A – 36 mois, 8 heures
Vanne électromagnétique 4,57E-09 1,10E-07A – 36 mois, 8 heures

Explication du calcul : Comme la probabilité de défaillance commune multi-canaux n’est pas donnée dans la littérature de référence, une valeur de référence de 0,1 est utilisée pour tous les calculs. De plus, la méthode des diagrammes de fiabilité et la méthode de l’arbre des pannes ne permettent pas de calculer le paramètre de couverture des tests fonctionnels, et ne peuvent pas gérer les structures multiples ou les structures irrégulières ; par conséquent, lors du calcul, on suppose par défaut que la couverture des tests fonctionnels est de 100 %. Lors du calcul des modules de sortie à l’aide de ces deux méthodes, on a d’abord calculé le PFD de chaque valve en mode de délibération 1oo1, sans tenir compte de l’effet des défaillances communes. Les logiciels HAZOPkit et exSILentia sont tous deux basés sur la méthode des modèles de Markov, c’est pourquoi ces deux logiciels ont été directement utilisés comme résultats de vérification de cette méthode. Les résultats calculés par le logiciel exSILentia servent de référence aux résultats des publications scientifiques ; étant donné qu’il n’est pas certain quels paramètres ont été utilisés pour les calculs, ils ne sont fournis qu’à titre indicatif. Tableau 3 Résultats du calcul SIL pour le circuit d’interblocage de niveau
Nom Données PFDavg Méthode de diagramme de fiabilité Méthode de arbre des pannes Logiciel HAZOP Logiciel exSILentia Entrées (y compris les niveleurs et les barrières de sécurité) 1,40E-04 1,52E-4 2,10E-04 2,52E-4 Contrôleur logique (y compris alimentation, processeur et cartes) 3,04E-03 4,00E-3 3,99E-03 1,97E-04 Sorties (FCV-01-681/EV-01-656, PCV-01-616) 1,74E-02 1,74E-2 1,90E-02 1,89E-02 Circuit SIF PFDavg 2,10E-02 2,16E-2 2,32E-02 1,93E-02 Une étude a comparé la précision des calculs obtenus par la méthode de l’arbre des pannes et par le modèle de Markov à l’aide de données a priori provenant de la base de données OREDA. Elle a montré que, dans le cas de structures de système relativement simples, les erreurs de calcul des deux méthodes sont faibles et correspondent aux données a priori. La méthode des modèles de Markov donne de meilleurs résultats pour le calcul des systèmes complexes. Par conséquent, cet article ne comparera plus la précision de ces trois méthodes de vérification, mais se limitera à en discuter les aspects fonctionnels et pratiques. Tableau 4 Comparaison des méthodes de validation : Méthode du diagramme de fiabilité, Méthode de l’arbre des pannes, Méthode du modèle de Markov. Niveau de complexité des calculs : simple, pouvant être effectué à la main ; complexité élevée, nécessitant l’aide d’un ordinateur. Capacité à refléter la relation entre la panne d’un équipement individuel et la panne du système : généralement bonne, médiocre. Besoins en données : quantité de données relativement faible, ne prenant en compte que les états de panne dangereux ; quantité de données relativement faible, ne prenant en compte que les états de panne dangereux ; quantité de données importante, incluant à la fois les états de panne dangereux et ceux de panne sûre, mais ce n’est pas obligatoire. Modèles à plusieurs défaillances : non pris en charge, non pris en charge, pris en charge. La portée de la modélisation ne permet pas une modélisation dynamique ; une seule modélisation ne permet d’obtenir qu’un seul indicateur de fiabilité. La modélisation dynamique n’est pas possible ; une seule modélisation ne permet d’obtenir qu’un seul indicateur de fiabilité. La modélisation dynamique est possible ; une seule modélisation permet d’obtenir plusieurs indicateurs de fiabilité. Modes de vote multiples : pris en charge, pris en charge, pris en charge. Structures hétérogènes : non pris en charge, pris en charge, pris en charge. Taux de couverture des tests fonctionnels : non pris en charge, non pris en charge, pris en charge. Niveau de complexité des calculs : après la conception des modèles par la méthode du diagramme de blocs de fiabilité et la méthode de l’arbre des défaillances, les calculs peuvent être effectués directement à partir de la formule de PFD dérivée, avec un volume de calcul faible. Le modèle de Markov décrit les états du système à l’aide de matrices, ce qui implique des calculs très volumineux ; il est donc nécessaire d’utiliser un ordinateur pour effectuer ces calculs. Représenter les liens entre un équipement individuel et le système : la méthode des diagrammes de fiabilité décrit clairement les relations en série et en parallèle au sein du système, tandis que la méthode de l’arbre des pannes permet de mettre en évidence de manière intuitive la relation logique entre une panne d’un équipement individuel et une panne du système. La méthode des modèles de Markov se montre moins performante à cet égard. Exigences en données : On considère généralement que la méthode des modèles de Markov nécessite une grande quantité de données. Cependant, les calculs menés par l’auteur ont montré que, si l’on ne tient compte que des exigences du système de calcul concernant le taux de défaillance PFD, les données requises uniquement par la méthode des diagrammes de fiabilité ou la méthode des arbres de défaillance permettent d’obtenir des résultats similaires. Modèles de défaillance multiples : La méthode de l’arbre des fautes repose sur l’hypothèse que les événements n’ont qu’un état binaire et que les relations logiques entre les défaillances sont déterministes, ce qui rend difficile la description des événements polymorphes. Par exemple, pour certains composants électroniques, ils peuvent être en état normal, ouvert, court-circuité, etc. La méthode des modèles de Markov est basée sur la théorie des probabilités et permet une bonne description des systèmes polymorphes. Portée de la modélisation : La méthode des diagrammes de fiabilité et la méthode des arbres de défaillance ne permettent de déterminer qu’un seul indicateur de fiabilité à la fois ; de plus, lorsqu’une modification est apportée à la structure du modèle, il est nécessaire de redériver les formules de calcul, ce qui limite leur flexibilité. Plusieurs modes de vote et structures atypiques : Lors de ce processus de validation, ce qui m’a causé le plus de **troubles, c’était le calcul du module de sortie (groupe de vannes). Dans cet exemple, les trois types de vannes sont différents et sont répartis en deux groupes. Comme aucune formule correspondante n’a pu être trouvée, il a fallu calculer séparément le PFD de chaque équipement, puis procéder à des calculs par une méthode probabiliste simple. La méthode des arbres de défaillance peut prendre en charge plusieurs groupes de vote et des structures hétérogènes, mais la dérivation des formules est trop complexe. Taux de couverture des tests fonctionnels : Dans cette validation, on a supposé que le taux de couverture des tests fonctionnels était de 100 %, c’est-à-dire que l’appareil revenait à son état initial après chaque test fonctionnel, ce qui est évidemment irréaliste. Lors des tests pratiques, le taux de couverture des tests fonctionnels a une influence importante sur les résultats de calcul, et parmi ces trois méthodes de validation, seule la méthode du modèle de Markov permet d’obtenir cette fonctionnalité. En résumé : que ce soit par la méthode des diagrammes de fiabilité, la méthode des arbres de défaillance ou la méthode des modèles de Markov pour la validation SIL, il est nécessaire de s’appuyer sur des statistiques relatives aux taux de défaillance des équipements et des composants ; des données précises sont une condition préalable à l’exactitude des résultats de validation. Pour les circuits SIF à structure relativement simple, les résultats des trois méthodes de vérification aboutissent toutes à la même classification SIL. De plus, la méthode des diagrammes de fiabilité et la méthode des pannes permettent de décrire efficacement les relations entre les équipements individuels et les systèmes ; de plus, les formules des modèles simplifiés sont pour la plupart publiques. Ainsi, lors de la conception et du choix des systèmes SIS, les entreprises peuvent utiliser ces formules pour estimer la valeur minimale des données de fiabilité requises pour les équipements. La méthode des modèles de Markov est devenue la solution de prédilection pour la validation logicielle SIL en raison de sa flexibilité et de sa précision ; ses défauts tels que la charge de calcul élevée et le manque d’intuitivité ont également été résolus dans ce type de logiciel. À noter : pour connaître les algorithmes détaillés des trois méthodes de validation abordées dans cet article, veuillez consulter le post https://bbs.hcbbs.com/thread-3123029-1-1.html. Remarque : cet article a été reproduit depuis le compte WeChat officiel : Haopeng Technology – « Validation du niveau d’intégrité de sécurité (SIL) – Comparaison des méthodes de calcul PFD »