Contourner les entrées de sécurité Triconex et HIMA sans compromettre l’intégrité SIL

Un contournement de sécurité n’est pas un raccourci pratique ; il s’agit d’un écart strictement contrôlé par rapport à une enveloppe de sécurité certifiée. Alors que la norme IEC 61511 stipule que la production continue normale ne doit jamais dépendre d’un déclenchement neutralisé, les installations de procédé continu, notamment les vapocraqueurs d’éthylène, les trains de liquéfaction de GNL et les plateformes offshore, rencontrent fréquemment des situations dans lesquelles un capteur en service doit être isolé. Un transmetteur de pression différentielle peut dériver pendant une intervention en charge, un détecteur de niveau haut peut échouer à son test de bon fonctionnement, ou un détecteur de flamme optique peut se dégrader en cours de campagne. Dans ces scénarios, les sites ont besoin d’une philosophie de contournement structurée plutôt que d’un bouton de contournement improvisé.

Fondamentalement, les ingénieurs de terrain doivent distinguer deux modes de fonctionnement dans les architectures SIL3 :

• Inhibition : Coupe complètement le chemin physique du signal vers la logique de déclenchement. Triconex définit cette fonction comme Permissive to Bypass, tandis que HIMA l’appelle Bypass Inhibit.
• Forçage : Injecte dans le solveur logique une valeur numérique prédéterminée et fixe en remplacement. Triconex désigne cette fonction comme Forced Input, et HIMA l’appelle Bypass Substitute.

Choisir le mauvais mode peut figer un transmetteur en service sur une ancienne valeur considérée comme sûre, masquer une véritable excursion du procédé et créer des angles morts catastrophiques.

Pourquoi un contournement structuré est-il autorisé par la norme IEC 61511 sur les installations en fonctionnement ?

Les ingénieurs débattent souvent de la question de savoir si les forçages temporaires compromettent les normes de sécurité certifiées. La norme IEC 61511 prévoit explicitement les contournements pendant certaines phases opérationnelles définies : démarrage de l’installation, tests de bon fonctionnement et maintenance en ligne des instruments. Ce que la norme interdit strictement, c’est de traiter un contournement temporaire comme une solution permanente d’exploitation.

Chaque contournement temporaire dégrade momentanément le facteur de réduction du risque (RRF) de cette fonction instrumentée de sécurité (SIF). Sans mesures compensatoires rigoureuses, les équipes d’exploitation risquent de faire fonctionner une unité de procédé à l’aveugle tout en supposant que la couche de sécurité automatisée reste pleinement vigilante.

Comment le registre de contournement MISER de Triconex gère-t-il le vote 2oo3 et le PFDavg ?

Dans les solveurs logiques Triconex fonctionnant avec une redondance modulaire triple (TMR) et un vote deux-sur-trois (2oo3), chaque voie d’entrée possède un mot d’état de contournement de 16 bits :

• Bit 0 : Indicateur d’activation globale du contournement.
• Bit 1 : Sélecteur de mode (Inhibition ou Forçage).
• Bits 2–15 : Identifiant du code motif MOC du site.

L’écriture du code motif MOC correct est obligatoire pour les audits de conformité. Point essentiel, le contournement d’une entrée sur une carte analogique, telle que le module d’entrée analogique simple extrémité Inv​​ensys Triconex 3720, ne déconnecte pas la voie des diagnostics internes. La logique de vote passe au contraire de 2oo3 à une configuration 1oo2 sur les deux voies restantes.

En fonctionnement 1oo2, la probabilité moyenne de défaillance sur sollicitation ($PFD_{avg}$) augmente immédiatement. Un interrogatoire diagnostique continu via du matériel réseau dédié, tel que le module de communication haute vitesse Inv​​ensys Triconex 4354, garantit que toute seconde défaillance matérielle est signalée instantanément, ce qui impose de rétablir la boucle pendant le quart en cours.

Comment les contrôleurs de sécurité HIMA appliquent-ils les temporisateurs d’expiration et les diagnostics HART ?

Les systèmes de sécurité HIMA, notamment le contrôleur lié à la sécurité HIMA HIMatrix F35 et les unités d’E/S modulaires telles que le module d’entrées/sorties numériques HIMA F3 DIO 20/8 01, utilisent une table de contournement propre à chaque voie. Chaque entrée de la table associe l’adresse de la voie physique à l’identifiant du badge de l’opérateur, à la justification documentée et à une temporisation maximale.

Les bonnes pratiques imposent de limiter le temporisateur d’expiration du contournement à huit heures ou à la durée du quart en cours. Le firmware HIMA génère une alerte automatique lorsqu’un contournement atteint 75 % de sa durée autorisée.

Il est tout aussi essentiel de vérifier la télémétrie diagnostique HART : lorsqu’une boucle analogique est placée en contournement, la commande HART 03 (lecture des variables dynamiques et de l’entrée analogique) doit signaler la variable de procédé avec la qualité BAD Quality. Si le DCS reçoit un indicateur de qualité « Good » alors que le déclenchement du SIS est neutralisé, les opérateurs peuvent se fier à tort à une valeur fantôme.

Quel est le protocole de terrain pour un contournement conforme aux audits ?

Pour exécuter un contournement prêt pour un audit sans compromettre l’intégrité de sécurité de l’installation, suivez ces directives opérationnelles essentielles :

• Interroger d’abord les diagnostics de terrain : Connectez un communicateur de terrain afin d’examiner la variable primaire (PV), le mot d’état de l’appareil et la sortie brute en milliampères avant de modifier la logique.
• Obtenir l’autorisation de gestion du changement (MOC) : Documentez le repère SIF exact, la classification SIL, la durée prévue et l’évaluation des risques avant de demander l’accès au poste de travail.
• Établir des mesures compensatoires : Affectez un opérateur de terrain dédié à la surveillance manuelle horaire et maintenez un contact radio bidirectionnel direct avec la console de conduite.
• Activer uniquement depuis les postes de travail d’ingénierie : Triconex et HIMA interdisent strictement d’initier des forçages de sécurité depuis des boîtes de jonction de terrain ou des borniers de raccordement.
• Valider l’annonce du déclenchement : Confirmez dans l’historique des alarmes que la SIF concernée est enregistrée comme MAINTENANCE ou BYPASSED.
• Effectuer les vérifications au banc du transmetteur et rétablir rapidement le service : Vérifiez à nouveau le zéro et l’étendue de mesure par rapport aux relevés d’étalonnage certifiés, rétablissez la voie d’entrée, assurez-vous que les modules de sortie, tels que le module de sortie numérique Inv​​ensys 3601T Triconex, reviennent à un fonctionnement normal, puis validez formellement le journal MOC.

Quelles signatures de défaillance HART ne doivent jamais être masquées ?

Certains diagnostics d’instrument indiquent une perte totale de capacité de mesure et ne doivent jamais être masqués par un forçage. Rejetez immédiatement les demandes de contournement si la télémétrie de l’appareil signale :

• OUT_OF_CALIBRATION ou HARDWARE_FAILURE
• CONFIG_CORRUPT dans la mémoire non volatile
• Des codes d’état du transducteur indiquant OPEN_TRANSDUCER ou SHORTED_TRANSDUCER

Le forçage de ces indicateurs précis aveugle le solveur logique face à un capteur complètement défaillant. En revanche, des avertissements transitoires mineurs tels que PV_TRAVELLED_TOO_FAST ou des alertes temporaires LOW_POWER peuvent être gérés pendant de courtes fenêtres de maintenance supervisées.

Comment les installations peuvent-elles prévenir la dégradation SIL à long terme due aux boucles neutralisées ?

Le maintien de l’intégrité de sécurité fonctionnelle exige une vigilance administrative et automatisée continue. Suivez les durées de contournement par SIF comme indicateur clé de performance mensuel : si une boucle de sécurité dépasse une heure cumulée de contournement au cours d’un mois, recherchez et corrigez les causes profondes au lieu de prolonger continuellement les forçages.

Archivez tous les journaux d’audit chaque trimestre, effectuez des revues lors des passations de quart en vous appuyant sur le registre de contournement actif, et organisez chaque année une formation fondée sur des scénarios sur les consoles Triconex et HIMA afin de maintenir une discipline d’ingénierie rigoureuse.

À propos de l’auteur : Weifeng Han est ingénieur en automatisation industrielle et possède plus de 10 ans d’expérience pratique dans les automates programmables industriels, les DCS, les systèmes de sécurité SIL3 et l’ingénierie de la sécurité fonctionnelle.