Vote 2oo3 qui évite les déclenchements intempestifs dans les boucles de sécurité Triconex et HIMA
Un seul transmetteur défectueux ne doit pas nécessairement entraîner l'arrêt d'un compresseur, mais aucune architecture de vote ne garantit ce résultat. La conception appropriée établit un équilibre entre la réduction des risques, la disponibilité, les diagnostics et les défaillances de cause commune.
Pourquoi utiliser un vote dans une fonction instrumentée de sécurité ?
Une fonction instrumentée de sécurité doit agir lorsque le procédé atteint une condition dangereuse, tout en évitant les déclenchements intempestifs en fonctionnement normal. Le vote redondant des capteurs peut aider à atteindre cet équilibre. Le choix doit découler de l'analyse des risques et de la vérification du SIL, et non d'une règle empirique. Évaluez la probabilité moyenne de défaillance à la demande (PFDavg), le taux de déclenchements intempestifs, les défaillances de cause commune, les essais périodiques et les hypothèses de réparation pour l'ensemble de la fonction, y compris les capteurs, le solveur logique et les éléments finaux.
Que signifient 1oo1, 1oo2, 2oo2 et 2oo3 ?
Cette notation indique combien de canaux sur un total de n doivent demander un déclenchement. Une architecture 1oo1 comporte un canal. Une architecture 1oo2 déclenche lorsqu'un des deux canaux le demande ; elle peut améliorer la détection d'une condition dangereuse, mais aussi augmenter les déclenchements intempestifs. Une architecture 2oo2 exige les deux canaux, ce qui réduit certains déclenchements intempestifs, tout en pouvant accroître le risque de ne pas déclencher si un canal tombe en panne dangereusement. Une architecture 2oo3 déclenche lorsque au moins deux des trois canaux votent en sa faveur. Elle peut tolérer certaines défaillances d'un seul canal, mais ses performances dépendent des modes de défaillance, des diagnostics et de l'indépendance.
Ne supposez pas qu'un capteur défaillant est automatiquement détecté, ni qu'une demande réelle sera toujours détectée. Déterminez le comportement du solveur face aux signaux invalides, bloqués ou hors plage, et spécifiez le comportement en mode dégradé.
Le vote 2oo3 des capteurs est-il identique à l'architecture de contrôleur TMR ?
Non. Le vote 2oo3 de trois capteurs de terrain et le traitement redondant modulaire triple à l'intérieur d'un solveur logique concernent des parties différentes de la fonction de sécurité. Un système Triconex peut utiliser une architecture redondante ; des produits tels que le module d'alimentation Triconex 8310 et le module d'entrée Triconex 3708E sont des exemples de matériels associés, mais ne prouvent pas qu'une boucle donnée atteigne un SIL particulier. Les plateformes HIMA varient également selon le modèle ; le contrôleur de sécurité HIMA HIMatrix F35 ne doit pas être décrit comme ayant la même architecture interne que toutes les autres plateformes HIMA.
Vérifiez le manuel de sécurité du matériel exact, la configuration certifiée, la couverture diagnostique et la documentation du cycle de vie de sécurité avant de spécifier une plateforme ou une logique de vote. Le SIL 3 est le résultat obtenu pour une fonction de sécurité complète et vérifiée, et non une propriété conférée par trois processeurs à eux seuls.
Qu'est-ce qui peut mettre en défaut trois canaux semblant indépendants ?
Les défaillances de cause commune peuvent affecter plusieurs capteurs simultanément : lignes d'impulsion communes, alimentation, exposition environnementale, erreurs d'étalonnage ou chemins de câbles. Examinez le raccordement au procédé et l'installation, ainsi que la séparation électrique. Lorsque cela est pertinent, séparez les prises et les chemins de câbles et évaluez la diversité, tout en vous assurant que chaque mesure soumise au vote détecte réellement le même danger du procédé ; des mesures différentes ne doivent pas être combinées uniquement pour créer de la diversité.
Comment les ingénieurs doivent-ils tester et maintenir une boucle 2oo3 ?
Configurez les alarmes de désaccord entre canaux et la gestion des défauts conformément aux exigences de sécurité. Définissez les tolérances en fonction du procédé et de la précision des instruments, et non selon un pourcentage générique de l'étendue de mesure. Effectuez l'essai périodique de chaque canal et de l'élément final selon l'intervalle utilisé dans le calcul du SIL, gérez les contournements suivant une procédure approuvée et consignez chaque déclenchement ainsi que chaque événement en mode dégradé. Confirmez les hypothèses d'état sûr et de mise hors tension sur déclenchement pour l'élément final réel, au lieu de supposer que toute perte d'alimentation produit le résultat attendu.
Par où commencer l'examen ?
Commencez par une fonction de sécurité à fort impact et par son étude des dangers approuvée. Comparez son architecture de capteurs, sa logique, ses diagnostics, ses contournements et ses comptes rendus d'essais périodiques avec les exigences de sécurité et le calcul vérifié de la PFDavg. Utilisez ensuite l'historique des déclenchements pour repérer les canaux faibles et hiérarchiser les corrections sans réduire la protection.
Auteur : Li Weiming est ingénieur en automatisation industrielle et possède plus de 10 ans d'expérience dans les API, les systèmes DCS et les systèmes de contrôle.
