Planification des tests de preuve SIL 3 et gestion de PFDavg pour HIMA HIMatrix et ICS Triplex TMR

Un guide pratique IEC 61511 pour planifier les tests de preuve SIL 3, calculer le PFDmoy pour les architectures HIMA HIMatrix F60 et ICS Triplex TMR, appliquer le crédit de test partiel, et maintenir les dossiers de conformité sur plusieurs cycles d’arrêt d’usine pluriannuels.

Exigences SIL 3 et plage cible du PFDmoy

Le tableau 3 de la norme IEC 61511 définit le SIL 3 comme une plage de PFDmoy allant de 10⁻⁴ à 10⁻³. Cela représente un ordre de grandeur plus exigeant que le SIL 2. Atteindre le SIL 3 nécessite soit une architecture très redondante, soit un intervalle de test de preuve très court. Le HIMA HIMatrix F60 avec architecture 1oo2D atteint le SIL 3 uniquement lorsque l’intervalle de test de preuve est inférieur ou égal à 1 an et que la couverture diagnostique dépasse 99 %.

Le ICS Triplex TMR atteint le SIL 3 grâce à son vote matériel 2oo3 avec diagnostics en ligne complets. La couverture diagnostique du Triplex TMR est évaluée à 99,7 % pour les défauts internes. Combiné à un intervalle de test de preuve de 2 ans et un taux de défaillance dangereuse (λDU) de 1,2×10⁻⁷/h par canal, le PFDmoy se calcule à environ 5,3×10⁻⁴. Cela satisfait la limite supérieure du SIL 3 de 10⁻³.

Cependant, le PFDmoy n’est pas une valeur fixe. Il augmente avec le temps à mesure que le système vieillit. Surveillez le calcul de vérification SIL annuellement. Remplacez les composants vieillissants avant que la dérive de λDU ne pousse le PFDmoy au-delà de la limite supérieure du SIL 3.

Calcul de l’intervalle de test de preuve pour architectures mixtes

De nombreuses usines utilisent une combinaison de HIMA HIMatrix F60 pour les initiateurs et ICS Triplex TMR pour l’élément final. Dans ce cas, calculez le PFDmoy pour chaque sous-système séparément, puis additionnez-les. Le PFDmoy total du SIF doit rester inférieur à 10⁻³.

Utilisez la formule de l’annexe K de l’IEC 61511-1 pour une architecture 1oo2D :

PFDmoy (1oo2D) = (λDU × Ti)² / 3 + λDU × (1 – DC) × Ti / 2

Pour le HIMA HIMatrix F60 avec λDU = 3×10⁻⁷/h par canal, Ti = 8 760 h (1 an), et DC = 0,99 :

PFDmoy = (3×10⁻⁷ × 8 760)² / 3 + 3×10⁻⁷ × 0,01 × 8 760 / 2 = 2,3×10⁻⁶ + 1,3×10⁻⁵ = 1,5×10⁻⁵

Cela laisse un large budget de PFDmoy pour le sous-système de l’élément final ICS Triplex TMR. Cependant, ne laissez jamais un seul sous-système consommer plus de 50 % du budget total de PFDmoy SIL 3. Cette approche offre une marge pour les modifications futures sans invalider la vérification SIL.

Crédit de test partiel et impact de la couverture diagnostique

Un test de preuve complet vérifie tous les modes de défaillance dangereux. Un test partiel ne vérifie qu’un sous-ensemble. La clause 16.2.6 de l’IEC 61511 autorise un crédit de test partiel lorsque la fraction de test partiel (PTF) est documentée. HIMA SILworx définit la PTF par procédure de test. Une vérification diagnostique standard du canal en fonctionnement compte pour une PTF de 0,3 à 0,5, selon la couverture des modes de défaillance.

Pour ICS Triplex TMR, l’auto-test en ligne couvre environ 85 % des modes de défaillance dangereux. Cela signifie que le test de preuve annuel ne doit couvrir que les 15 % restants. Cela réduit la durée du test de preuve de 8 heures à environ 1,5 heure par SIF. Appliquez ce crédit dans l’outil de vérification SIL en entrant PTF = 0,85 pour la contribution des diagnostics en ligne et PTF = 0,15 pour le complément du test manuel.

De plus, le crédit de couverture diagnostique nécessite une preuve. HIMA HIMatrix SILworx enregistre les résultats des tests diagnostiques dans le journal d’événements interne. Exportez ce journal mensuellement et archivez-le dans le système GMAO. Le statut diagnostique du contrôleur ICS Triplex est disponible via le registre Modbus TCP 41001 (codé en bits, 16 catégories de défauts). Enregistrez ce registre quotidiennement via l’historien OPC DA. Ces données archivées servent de preuve documentaire des tests de preuve selon la clause 16.2.5 de l’IEC 61511 lors des audits.

Documentation en cinq étapes des dossiers de test de preuve

La clause 16.3 de l’IEC 61511 exige que les dossiers de test de preuve incluent des champs de données spécifiques. L’absence de champs invalide le crédit du test. Suivez cette procédure documentaire pour chaque test de preuve SIL 3 SIF :

• Étape 1 : Enregistrez l’état constaté avant toute intervention de test. Pour chaque canal HIMA HIMatrix F60, notez l’état des LED (vert/ambre/rouge) et l’octet résumé diagnostique SILworx. Pour chaque sortie ICS Triplex TMR, notez l’état du relais et la valeur du registre Modbus 41001.
• Étape 2 : Exécutez la séquence de test selon la procédure de test de preuve approuvée. Enregistrez l’heure de chaque étape avec une horloge synchronisée. Utilisez la référence NTP de l’usine (stratum 1) pour tous les horodatages. N’utilisez pas l’heure locale du PC — la dérive de l’horloge dépasse la résolution de 1 s requise pour la vérification du temps de réponse du SIF.
• Étape 3 : Enregistrez le temps de réponse mesuré depuis l’injection du signal d’entrée jusqu’à l’activation de l’élément final. Comparez-le à l’exigence de temps de réponse du SIF dans la spécification des exigences de sécurité (SRS). La tolérance acceptable est ±10 % du temps de réponse requis.
• Étape 4 : Enregistrez l’état laissé après la fin du test. Confirmez que les systèmes HIMA et ICS Triplex sont restaurés en mode de fonctionnement normal. Vérifiez que SILworx ne signale aucun défaut diagnostique verrouillé. Confirmez que le registre Modbus 41001 du Triplex TMR affiche 0x0000 (aucun défaut actif).
• Étape 5 : Mettez à jour le calcul de vérification SIL avec la nouvelle date de test de preuve. Recalculez le PFDmoy pour le prochain intervalle de test de preuve. Si le PFDmoy approche 20 % de la limite supérieure du SIL 3, signalez le SIF pour un retest anticipé ou une revue d’architecture. Archivez le dossier de test complété dans la GMAO avec signature électronique conformément aux exigences d’intégrité des dossiers IEC 62443-2-1.

Conclusion et conseils d’action

La conformité SIL 3 pour les systèmes HIMA HIMatrix et ICS Triplex TMR dépend d’une planification rigoureuse des tests de preuve et d’un suivi précis du PFDmoy. Calculez le PFDmoy pour chaque sous-système séparément. Maintenez les contributions individuelles des sous-systèmes en dessous de 50 % du budget total SIL 3. Appliquez le crédit de test partiel uniquement lorsque la preuve de la couverture diagnostique est archivée dans la GMAO. Documentez chaque état constaté et laissé avec des horodatages synchronisés NTP. Mettez à jour la vérification SIL annuellement. Signalez tout SIF dont le PFDmoy approche 80 % de la limite supérieure du SIL 3. Ces pratiques protègent l’intégrité du SIL 3 tout au long du cycle de vie de l’usine.

Auteur : Chen Hao est un ingénieur en automatisation industrielle avec plus de 10 ans d’expérience en PLC, DCS et systèmes de contrôle.