Les déclenchements intempestifs d’un automate de sécurité (PLC) : concevoir un SIS qui résiste aux défaillances de cause commune

Pourquoi un API de sécurité redondant se déclenche-t-il de manière inattendue lorsqu’aucun composant individuel n’est défaillant ?

Lorsqu’un système instrumenté de sécurité (SIS) se déclenche de manière inattendue et arrête la production, les opérateurs et les techniciens accusent souvent des anomalies dans la logique logicielle. Cependant, la cause première réside fréquemment dans l’infrastructure physique partagée. Alors que la redondance modulaire triple (TMR) permet de surmonter efficacement les défaillances matérielles aléatoires, elle n’offre aucune protection contre une vulnérabilité unique qui rend aveugles tous les canaux redondants simultanément. Ce phénomène est appelé défaillance de cause commune (CCF).

Il est essentiel de distinguer les défaillances aléatoires des événements de cause commune. Une défaillance aléatoire désactive un seul canal, que la logique interne de vote 2oo3 masque de manière transparente. En revanche, un événement de cause commune touche tous les canaux simultanément par l’intermédiaire d’un point faible partagé, rendant la redondance matérielle inutile. Pour maintenir l’intégrité de la sécurité fonctionnelle conformément aux normes CEI 61511, considérez les CCF comme un problème fondamental de conception du système plutôt que comme une simple réparation de maintenance.

Quelles causes communes rendent simultanément aveugles les canaux de sécurité redondants ?

Même dans les architectures à haute fiabilité utilisant des racks de sécurité tels que le module d’entrée analogique Invensys Triconex 3720 ou le module de sortie analogique Invensys Triconex 4118, des vulnérabilités partagées peuvent compromettre des boucles de sécurité entières :

• Lignes d’impulsion et éléments primaires partagés : deux transmetteurs partageant une même prise de procédé ou montés sur le même diaphragme ou annubar produiront tous deux des mesures erronées identiques si cette prise se bouche.
• Alimentation commune en air instrument : utiliser un seul régulateur ou collecteur d’air pour alimenter des éléments finaux de commande redondants signifie qu’un blocage de l’alimentation en air immobilisera les deux vannes.
• Chemins de câbles partagés et IEM : acheminer des câbles d’alimentation haute tension et des signaux de sécurité sensibles de 4–20 mA dans le même chemin expose simultanément tous les canaux de sécurité à des perturbations électromagnétiques.
• Chute de tension de boucle : les longues liaisons câblées qui abaissent la tension aux bornes sous le minimum de 10–12 VCC requis par un transmetteur bifilaire provoquent la mise hors service simultanée de tous les transmetteurs de cette branche.
• Couplage des blocs fonctionnels logiciels : le mappage de deux tags redondants dans le même bloc fonctionnel logique ou la même ligne de programme introduit des vulnérabilités algorithmiques susceptibles de faire tomber les deux canaux simultanément.
• Procédures de maintenance partagées : étalonner ou rincer un transmetteur sur un manifold partagé peut perturber involontairement son double redondant pendant le fonctionnement de l’installation.

Comment la diversité technologique et la séparation physique protègent-elles le SIS contre les défaillances du BPCS ?

L’indépendance architecturale n’a de valeur que lorsqu’elle est renforcée par une diversité physique. Lorsque le procédé industriel le permet, utilisez des technologies de détection différentes, par exemple en combinant un transmetteur de niveau radar à ondes guidées avec un transmetteur de pression différentielle, plutôt qu’en installant deux cellules DP identiques.

En outre, les contrôleurs de sécurité doivent rester strictement séparés du système de contrôle-commande de procédé de base (BPCS). Installez le BPCS et le SIS dans des armoires distinctes, avec des alimentations dédiées, des barres de terre isolées et des chemins de câbles séparés. Les contrôleurs de sécurité dédiés, tels que le contrôleur de sécurité HIMA HIMatrix F35 ou le module numérique HIMA F3 DIO 20/8 01 HIMatrix, assurent une exécution déterministe dédiée et des chaînes d’outils d’ingénierie distinctes. Lors des communications avec les couches DCS de supervision via le module de communication haut débit Invensys Triconex 4354, maintenez des frontières pare-feu en lecture seule et ne copiez-collez jamais de logique de commande non vérifiée au-delà des barrières de sécurité.

Qu’est-ce que le facteur bêta dans la CEI 61511 et quel est son impact sur la vérification du SIL ?

Les calculs du niveau d’intégrité de sécurité (SIL) doivent tenir compte mathématiquement de la sensibilité aux causes communes au moyen du facteur bêta (β), défini par les normes CEI 61508 et CEI 61511 comme la fraction du taux global de défaillance attribuable à une cause commune partagée. Alors que les conceptions de référence supposent souvent un facteur β compris entre 1 % et 5 %, cette estimation prudente repose sur une séparation physique rigoureuse et une grande discipline d’ingénierie.

Ne pas imposer une séparation physique peut facilement tripler le facteur bêta réel, ce qui dégrade fortement la probabilité moyenne de défaillance à la sollicitation (PFDavg) calculée et invalide votre certification SIL 2 ou SIL 3. Calculez et documentez toujours un facteur β justifiable dans la spécification des exigences de sécurité (SRS), puis réévaluez-le après toute modification du câblage ou de l’agencement.

Comment les ingénieurs doivent-ils mener un audit sur site pour vérifier l’indépendance des boucles de sécurité ?

Pour confirmer que vos fonctions instrumentées de sécurité (SIF) sont véritablement indépendantes, réalisez la séquence d’audit sur site suivante :

• Étape 1 (inspection des lignes d’impulsion) : suivez physiquement les lignes de détection jusqu’à la prise de procédé ; éliminez toute prise de procédé ou tout manifold partagé entre des paires redondantes.
• Étape 2 (contrôle de la séparation des câbles) : examinez les tableaux de câbles et inspectez les chemins sur le terrain afin de vous assurer que le câblage des instruments de sécurité est isolé des lignes d’alimentation et du câblage du BPCS.
• Étape 3 (mesure de la tension aux bornes) : mesurez la tension aux bornes à la consommation maximale de courant afin de vérifier qu’elle respecte les seuils minimaux de fonctionnement des transmetteurs.
• Étape 4 (revue de la logique applicative) : auditez les programmes de logique de sécurité ligne par ligne en vous assurant que les entrées redondantes ne traversent pas de blocs de calcul partagés ni de lignes interdépendantes.
• Étape 5 (documentation du bêta dans la SRS) : vérifiez que le facteur β retenu est correctement justifié et archivé dans la documentation officielle de la SRS.
• Étape 6 (essais de course partielle) : effectuez des essais de course partielle (PST) sur les vannes d’arrêt finales afin d’établir les temps de déplacement des vannes et d’éliminer les grippages mécaniques.

Résumé : quels sont les principaux enseignements pour éliminer les défaillances de cause commune ?

Une défaillance de cause commune transforme un système de sécurité à triple redondance en un point unique de défaillance coûteux. Une véritable protection exige d’identifier activement les dépendances physiques partagées, d’intégrer une diversité technologique aux capteurs et aux solveurs, et de justifier les objectifs SIL par des calculs vérifiés du facteur bêta. Prenez le temps cette semaine d’auditer une boucle de sécurité critique de votre installation : votre barrière de sécurité n’est aussi solide que la vulnérabilité partagée que vous découvrez.

Auteur : Deng Weiguang est ingénieur en automatisation industrielle et possède plus de 10 ans d’expérience dans les API, les DCS et les systèmes de commande.