Mise en service du système de gestion des brûleurs SIS : procédures sur site HIMA HIMatrix F60 et Triconex Tricon CX

Architecture du BMS et limites des fonctions de sécurité

Un système de gestion de brûleur contrôle l’admission de carburant, la séquence d’allumage, la détection de flamme et l’arrêt d’urgence des équipements à combustion. Les normes NFPA 85 et IEC 61511 s’appliquent toutes deux lorsque le BMS inclut des fonctions instrumentées de sécurité. L’architecture typique place un automate programmable de sécurité (Safety PLC) — soit le HIMA HIMatrix F60 ou le Triconex Tricon CX — comme solveur logique du système instrumenté de sécurité. Le BPCS gère la gestion des consignes et le contrôle du rapport air-carburant sur un contrôleur séparé. Les deux systèmes échangent des données via Modbus TCP tout en maintenant une séparation physique stricte au niveau des entrées/sorties.

Le HIMA HIMatrix F60 est un contrôleur compact TMR capable de SIL 3, supportant jusqu’à 96 entrées numériques et 48 sorties numériques en configuration de base. Le Triconex Tricon CX exécute une redondance modulaire triple avec vote 2oo3 au niveau des modules E/S, offrant une tolérance aux pannes matérielles SIL 3. Pour un BMS classé SIL 2, chaque plateforme offre une intégrité matérielle adéquate — les contraintes critiques proviennent de la conception logicielle et de l’intervalle de test de preuve.

Logique de vote 2oo3 du détecteur de flamme UV

La détection de flamme utilise trois détecteurs UV disposés en configuration de vote 2oo3. Cette architecture exige qu’au moins deux détecteurs confirment la présence de flamme avant que le solveur logique n’autorise la poursuite de l’admission de carburant. Sur le HIMA HIMatrix F60, configurez le bloc de vote dans SILworx comme un bloc fonction FB_Vote_2oo3. Réglez le délai de détection de divergence (Discrepancy Timeout) à 3 secondes — si un détecteur est en désaccord avec les deux autres pendant plus de 3 secondes, le HIMatrix génère une alarme de divergence vers le DCS.

Sur le Triconex Tricon CX, implémentez la même logique en utilisant le langage Structured Text IEC 61131-3 de TriStation. Ajoutez un temporisateur de retard à l’enclenchement de 500 ms sur chaque entrée détecteur pour rejeter les interférences UV transitoires dues aux étincelles d’allumage. Cela évite les fausses détections de flamme pendant la séquence d’allumage.

• Étape 1 : Connectez les trois détecteurs UV à des canaux d’entrée numérique HIMatrix F60 séparés — ne partagez jamais un retour commun avec le circuit d’allumage.
• Étape 2 : Vérifiez la sortie d’auto-contrôle de chaque détecteur. Un Fireye 45UV5 en bon état émet un signal d’auto-contrôle 24 VDC toutes les 10 secondes. Mappez ce signal sur un canal DI dédié et configurez un watchdog de 30 secondes dans TriStation — la perte du signal d’auto-contrôle pendant 30 secondes déclenche une alarme de défaut détecteur UV.
• Étape 3 : Effectuez un test lumière/obscurité pour chaque détecteur individuellement. Bloquez la vue UV avec une carte obturatrice. Vérifiez que l’entrée détecteur associée chute à 0 VDC en moins d’une seconde. Confirmez que le vote 2oo3 ne déclare pas FLAME_PROVEN avec un seul détecteur actif.

Temporisation de la séquence de purge : exigences NFPA 85

La norme NFPA 85 exige que l’enceinte de combustion soit purgée avec au moins quatre renouvellements d’air avant chaque tentative d’allumage. Le débit de purge doit être au moins égal à 25 % du débit d’air maximal de conception. Calculez le temps de purge requis avec la formule suivante :

T_purge = (4 × V_enceinte) / Q_débit_air

Pour une enceinte de combustion de 120 m³ avec un ventilateur à tirage forcé délivrant 18 m³/min à 25 % d’ouverture du registre : T_purge = (4 × 120) / 18 = 26,7 minutes. Arrondissez à 27 minutes et programmez cette valeur comme temps minimum de purge dans le bloc fonction de séquence de purge SILworx du HIMatrix. Le temporisateur doit être certifié sécurité et non réinitialisable — si le débit d’air descend en dessous du seuil de 25 % pendant la purge, le temporisateur se remet à zéro.

Sur le Triconex Tricon CX, implémentez le temporisateur de purge dans TriStation avec un bloc TON (Timer On Delay) préréglé à 1620 secondes (27 minutes). Interverrouillez l’entrée d’activation du temporisateur avec l’interrupteur de détection de débit d’air — un pressostat différentiel réglé à 0,5 kPa sur le registre d’air prouve le débit requis. Vérifiez que son temps de réponse est inférieur à 2 secondes pour respecter la section 8.3.4 de la NFPA 85.

Séquençage de la vanne double blocage et purge

L’alimentation en carburant utilise une configuration double blocage et purge (DBB) — deux vannes de coupure de sécurité normalement fermées (SSOV) en série avec une vanne de purge normalement ouverte entre elles. La NFPA 85 exige que chaque SSOV se ferme en moins d’une seconde après réception du signal d’arrêt. Sur le HIMA HIMatrix F60, séquencez les vannes DBB avec cette logique :

• Étape 1 : Lors d’un déclenchement BMS, désexcitez simultanément les sorties numériques SSOV1 (blocage amont) et SSOV2 (blocage aval) via le module de sortie de sécurité HIMatrix F3 DIO. Les deux reçoivent la commande de désexcitation dans un cycle de scan HIMatrix — typiquement 10 ms.
• Étape 2 : Après un délai de 200 ms, excitez la vanne de purge (normalement ouverte, maintenue fermée en fonctionnement par un signal 24 VDC). La désexcitation de la sortie numérique de la vanne de purge permet son ouverture et la purge de l’espace entre vannes.
• Étape 3 : Lancez un temporisateur de confirmation de fermeture de vanne de 2 secondes. Le HIMatrix lit les contacts de fin de course des SSOV. Confirmez la position fermée en moins de 2 secondes. Si un contact ne confirme pas la fermeture, générez une alarme de défaillance de vanne et empêchez le redémarrage.
• Étape 4 : Pour l’implémentation Triconex Tricon CX, utilisez une machine à états dans TriStation avec cinq états : IDLE, PURGING, IGNITING, RUNNING, TRIPPED. Chaque transition d’état est contrôlée par un ensemble de conditions booléennes. Cette structure facilite la vérification de la matrice cause-effet IEC 61511 lors de la revue du dossier de sécurité.

Test de preuve SIL 2 et recalcul de PFDavg

La clause 16.2.5 de l’IEC 61511 exige des tests de preuve documentés à des intervalles dérivés de la cible PFDavg SIL 2. Pour une fonction d’arrêt carburant BMS en SIL 2, le PFDavg doit rester inférieur à 10⁻² (1 %). Un intervalle typique de test de preuve pour une vanne ESD avec un taux de défaillance dangereuse non détectée (λDU) de 2,5 × 10⁻⁶ /h se calcule ainsi :

PFDavg = λDU × Ti / 2

Pour maintenir PFDavg = 0,005 (50 % de la limite SIL 2) : Ti = (2 × 0,005) / (2,5 × 10⁻⁶) = 4000 heures ≈ 6 mois.

Le test partiel de course (PST) exerce partiellement la vanne ESD sans arrêt complet du procédé. Sur le HIMatrix F60, configurez une fonction PST avec le bloc bibliothèque SILworx PST. Réglez la limite de déplacement PST à 15 % de la course de la vanne — suffisant pour détecter le collage du siège et les blocages mécaniques sans interrompre le flux. Un temps de réponse PST supérieur à 8 secondes indique une dégradation de l’actionneur — planifiez un test de course complète lors de la prochaine maintenance.

Recalculez le PFDavg après chaque événement PST. Documentez chaque résultat PST dans le journal de diagnostic HIMatrix et transférez les données dans votre système de gestion du dossier de sécurité. L’IEC 61511 exige que cette documentation reste accessible pendant tout le cycle de vie du système — typiquement 25 ans pour les équipements à combustion.

Conclusion et conseils d’action

La mise en service du BMS n’est pas une simple formalité. Chaque paramètre — valeur du temporisateur de purge, délai de détection de divergence UV, temps de réponse des vannes, limite de déplacement PST — est directement lié à une exigence de sécurité dans la NFPA 85 ou l’IEC 61511. Utilisez le mode simulation intégré de HIMA SILworx pour prévalider la logique de séquence de purge avant la première mise en feu. Sur les projets Triconex Tricon CX, utilisez l’éditeur de machine à états de TriStation et liez chaque condition de transition au numéro de ligne de votre matrice cause-effet.

Après la mise en service, effectuez le premier test complet de course de la vanne ESD dans les 30 jours pour établir un temps de réponse de référence. Programmez un calendrier PST tous les 6 mois et un test complet tous les 12 mois en ordres de travail permanents. Ces bonnes pratiques maintiennent votre PFDavg BMS dans l’enveloppe SIL 2 et démontrent la conformité IEC 61511 à chaque audit de sécurité.

Auteur : Liu Yang est ingénieur en automatisation industrielle avec plus de 10 ans d’expérience en PLC, DCS et systèmes de contrôle.