Contourner une fonction de sécurité sans enfreindre la norme IEC 61511 : guide pratique Triconex et HIMA

Les systèmes instrumentés de sécurité (SIS) existent pour réduire le risque opérationnel à un niveau acceptable. Pourtant, lors du démarrage, de la maintenance courante et des tests périodiques planifiés, les boucles de sécurité ne peuvent pas toujours fonctionner selon les paramètres standard. Lorsqu’un interverrouillage est neutralisé ou contourné, le risque de l’installation augmente naturellement. Lorsqu’un contournement temporaire est correctement géré dans le respect d’une discipline d’ingénierie stricte, il empêche les déclenchements intempestifs tout en protégeant la vie humaine et les actifs.

La norme IEC 61511 établit des garde-fous précis pour le contournement des fonctions instrumentées de sécurité (SIF). Ce guide pratique transforme ces clauses rigoureuses en mesures d’ingénierie concrètes pour les ingénieurs travaillant avec les architectures de sécurité Schneider Electric / Invensys Triconex et HIMA.

Pourquoi le contournement d’une fonction de sécurité est-il autorisé par l’IEC 61511 ?

Les ingénieurs se demandent souvent si le contournement d’une fonction instrumentée de sécurité enfreint les normes d’intégrité de sécurité. La réponse courte est non, à condition de respecter la clause 16 de l’IEC 61511. La maintenance, l’étalonnage et les tests périodiques nécessitent inévitablement d’isoler un capteur ou un actionneur sans arrêter une ligne de procédé entière.

Cependant, un contournement non surveillé ou non enregistré est bien plus dangereux que l’absence totale de protection, car les opérateurs supposent que la protection est active alors qu’elle est neutralisée. Les équipes d’exploitation perdent rapidement la trace des boucles contournées lors des changements d’équipe. Pour cette raison, la rigueur procédurale et le suivi automatisé sont nettement plus importants que les initiatives improvisées sur le terrain.

Quelle est la différence fondamentale entre une inhibition et un forçage ?

Dans le jargon industriel, des termes comme neutralisation, forçage, mise en sourdine, désactivation et contournement sont souvent employés indifféremment. Mais sur le chemin du signal, une inhibition et un forçage se comportent très différemment :

• Inhibition : Coupe complètement le signal à l’entrée ou à la sortie de la logique de sécurité. La logique en aval perd une valeur déterministe et revient souvent à un état indéfini ou flottant, ce qui peut entraîner un comportement imprévisible de la logique de vote.
• Forçage : Interrompt le signal actif, mais le remplace immédiatement par une valeur d’ingénierie définie et constante. La logique de sécurité continue d’évaluer un nombre exact et déterministe.

Pour les boucles critiques pour la sécurité, préférez toujours un forçage logiciel à une inhibition incontrôlée afin de préserver un vote déterministe. En outre, ne déconnectez jamais le câblage de terrain pour réaliser un contournement. Les connexions physiques de terrain doivent rester intactes afin que les cartes d’entrée - telles que le module d’entrée analogique simple extrémité Invensys Triconex 3720 - puissent continuer à surveiller les diagnostics de ligne, les défauts de circuit ouvert et les alarmes de capteur hors plage.

Comment mettre en œuvre les contrôles de la clause 16 de l’IEC 61511 sur Triconex et HIMA ?

La clause 16 réglemente strictement la maintenance et l’exploitation des SIS pendant la poursuite du fonctionnement du procédé. Comment satisfaire à ces exigences dans les architectures DCS et SIS de terrain ? Vous devez respecter quatre exigences fondamentales :

• Autorisation formelle : Veillez à ce que chaque demande de contournement soit examinée dans le cadre d’une gestion des modifications (MOC) ou approuvée par un responsable autorisé de la sécurité fonctionnelle.
• Délais d’expiration stricts : Ne laissez jamais un contournement ouvert sans limite. Associez chaque forçage à une minuterie d’expiration automatique, généralement limitée à une seule équipe de travail.
• Mesures compensatoires : Lorsqu’une SIF est neutralisée, mettez en place une réduction alternative du risque - par exemple une observation manuelle dédiée sur le terrain ou des interverrouillages secondaires temporaires.
• Correspondance avec la logique matérielle : Sur un système Triconex, associez chaque contournement à des blocs fonctionnels dédiés et verrouillés par étiquette dans TriStation. Lorsque vous travaillez avec des contrôleurs de sécurité tels que le contrôleur lié à la sécurité HIMA HIMatrix F35 ou le module HIMA F3 DIO 20/8 01, affectez les forçages à des zones opérateur protégées par un commutateur à clé ou des mots de passe fondés sur les rôles.

Les deux fabricants fournissent des journaux d’audit SOE (séquence des événements) inviolables, qui enregistrent les identifiants utilisateur, les horodatages et l’état des voies. Si la journalisation de la piste d’audit est désactivée, le contournement doit être considéré comme non autorisé.

Comment les ingénieurs peuvent-ils détecter les contournements oubliés à l’aide de Modbus et HART ?

L’expérience de terrain montre que le plus grand risque dans la gestion des SIS est le contournement oublié. Les contournements logiciels peuvent rester enfouis dans des sous-écrans pendant des semaines s’ils ne sont pas activement signalés. Les instruments de terrain et les bus de communication modernes fournissent des moyens de diagnostic clairs :

• Interroger les registres de bobines du SIS via Modbus TCP : Réservez des registres mémoire de diagnostic spécifiques aux états contournés. En faisant transiter les communications SIS par des modules tels que le module de communication haut débit Invensys Triconex 4354, les stations maîtres DCS ou SCADA peuvent interroger ces registres en continu et signaler toute bobine maintenue à l’état haut au-delà de sa fenêtre temporelle autorisée.
• Analyser l’état des appareils HART : Interrogez les diagnostics multipoints HART. Un transmetteur intelligent de pression ou de température placé en « Courant fixe » ou en « Mode simulation » révèle immédiatement un forçage actif sur le terrain.
• Comparer les entrées analogiques à la PV HART : Si la valeur lue par la voie d’entrée analogique s’écarte sensiblement de la PV HART numérique brute, votre système de diagnostic peut déclencher immédiatement une alerte de divergence.
• Alimenter les matrices d’alarmes de l’historien : Enregistrez automatiquement chaque changement d’état d’un contournement dans l’historien de l’installation afin de faciliter les audits de sécurité quotidiens entre équipes.

Quelle est la procédure appropriée pour remettre en service une boucle contournée ?

La remise en service est souvent le moment où les incidents surviennent, car la levée d’un contournement réarme instantanément l’élément final de déclenchement face à un procédé actif et potentiellement instable.

• Vérifiez que les valeurs des transmetteurs de terrain et les variables du procédé sont revenues largement dans les limites normales d’exploitation sûre.
• Inspectez les éléments finaux de commande numériques - pilotés par des modules tels que le module de sortie numérique Invensys 3601T Triconex - afin de vous assurer que les voies de sortie correspondent aux états opérationnels requis.
• Effacez les verrouillages de diagnostic internes et acquittez les alarmes de voie sur la station d’ingénierie HIMA ou l’affichage de diagnostic Triconex.
• Confirmez que tous les voyants matériels de contournement sont éteints avant de terminer le journal officiel de passation.

Points clés pour les équipes de sécurité fonctionnelle sur le terrain

Le contournement est un outil opérationnel inévitable, mais un contournement non géré constitue un danger inacceptable. Pour maintenir la conformité à l’IEC 61511 :

• Faites strictement la distinction entre inhibition et forçage dans les spécifications d’ingénierie.
• Soumettez chaque forçage à une autorisation formelle, à des mesures compensatoires et à une échéance stricte.
• Exploitez les bobines de diagnostic Modbus et la télémétrie HART comme filet de sécurité automatisé pour détecter les forçages oubliés.
• Imposez des protocoles de vérification rigoureux lors des passations d’équipe et de la remise en service des boucles.

À propos de l’auteur : Chen Weiming est ingénieur en automatisation industrielle et possède plus de 10 ans d’expérience pratique dans les automates programmables, les DCS et les systèmes instrumentés de sécurité.