Systèmes instrumentés de sécurité et SIL : ce que ces termes signifient pour les instruments de niveau

Systèmes instrumentés de sécurité et SIL : ce que ces termes signifient pour les instruments de niveau

Un transmetteur peut avoir une capacité SIL certifiée, mais son achat ne démontre pas l’intégrité effectivement atteinte par une fonction de sécurité complète. Une SIF de niveau comprend la détection, la logique, l’élément final et les services auxiliaires requis. Vérifiez le périmètre du certificat et le manuel de sécurité, puis vérifiez la fonction complète par rapport à ses exigences de sécurité.

Le vocabulaire expliqué simplement

Un système instrumenté de sécurité met en œuvre une ou plusieurs fonctions de sécurité conçues pour atteindre ou maintenir un état sûr défini. Son indépendance vis-à-vis du système de contrôle de base du procédé doit satisfaire à la conception et à l’évaluation des risques applicables. Il peut utiliser des diagnostics tout en assurant une surveillance continue ; des défaillances dangereuses latentes peuvent néanmoins subsister jusqu’à une sollicitation ou un test de preuve.

Une fonction instrumentée de sécurité (SIF) est une action de protection précise : « si le niveau du réservoir atteint le seuil très haut, fermer la vanne d’entrée ». Un SIS peut mettre en œuvre une ou plusieurs SIF.

Le SIL requis découle de l’analyse des dangers et des risques, pas du catalogue de l’instrument. Pour les applications de procédé, IEC 61511 traite des SIL 1–3 ; IEC 61508 définit aussi le SIL 4. Les fonctions en mode de faible sollicitation utilisent la probabilité moyenne de défaillance à la sollicitation (PFDavg) ; les fonctions en forte sollicitation ou en continu utilisent un autre indicateur de fréquence de défaillance. Ne transposez pas une probabilité annoncée en faible sollicitation à un autre mode de fonctionnement.

Pourquoi un transmetteur seul ne peut pas constituer une fonction « SIL 2 »

Vérifiez les performances quantitatives, les contraintes architecturales et l’intégrité systématique de la SIF complète. Le certificat d’un appareil précise sa capacité sous des conditions définies, qui peuvent inclure l’architecture, les diagnostics, la couverture des tests de preuve, le mode de fonctionnement et la durée de vie utile. Une architecture non redondante n’est pas automatiquement exclue du SIL 2 : les contraintes applicables et les performances vérifiées sont déterminantes.

Choisissez l’architecture et les modalités d’essai à partir de la spécification des exigences de sécurité. La redondance et le vote peuvent être nécessaires, mais ils introduisent aussi des considérations de causes communes et de maintenance. Documentez les données de défaillance, les utilités auxiliaires, les hypothèses de réparation, le temps de réponse et la couverture des tests de preuve, au lieu de considérer la seule redondance comme le moyen d’atteindre un SIL.

Comment se construit réellement une boucle de protection contre le débordement

L’exemple classique est la protection contre le débordement d’un réservoir de stockage. Une conception fiable sépare la mesure de la protection :

Capteur indépendant. Un détecteur de niveau très haut dédié, ou un second transmetteur, distinct du transmetteur de niveau du BPCS, afin qu’une défaillance de la mesure ne rende pas aussi la protection défaillante.

Unité logique. Un PLC de sécurité ou une unité logique à relais certifiée, distincte du PLC de contrôle, qui reçoit le signal de déclenchement et commande l’élément final.

Élément final. La vanne d’arrêt d’entrée, avec un actionneur et un positionneur spécifiés pour que la boucle atteigne le SIL visé.

L’indépendance est essentielle : l’instrument de niveau utilisé pour exploiter le réservoir et celui utilisé pour le protéger devraient être distincts, car le mode de défaillance contre lequel on se protège est précisément une défaillance de cette mesure.

Les tests de preuve et leur importance

Les tests de preuve recherchent les défaillances dangereuses que les diagnostics n’ont pas révélées. La procédure documentée doit couvrir les défaillances annoncées du capteur, du raccordement au procédé, de la logique et de l’élément final, avec des critères de réussite et des dispositions maîtrisées de mise en dérivation. Déterminez la périodicité et la couverture à partir du calcul de sécurité vérifié et des manuels de sécurité ; ni un essai annuel ni le seul forçage d’une sortie ne démontrent automatiquement l’intégrité requise.

Questions des ingénieurs

Q1. Quelle différence y a-t-il entre SIL 1 et SIL 2 pour une boucle de niveau ?

Environ un ordre de grandeur dans la probabilité requise de défaillance à la sollicitation, ce qui implique généralement de meilleurs diagnostics des appareils, des intervalles plus courts entre tests de preuve et parfois de la redondance. C’est une propriété de la boucle, pas d’un appareil isolé.

Q2. Peut-on aussi utiliser le transmetteur de contrôle pour la fonction de sécurité ?

Seulement si l’analyse des dangers accepte le mode de défaillance partagé, ce qui ne devrait généralement pas être le cas pour la protection contre le débordement. La conception habituelle utilise un appareil indépendant de niveau très haut.

Q3. Que signifie « capacité SIL 2 » sur une fiche technique ?

C’est une déclaration de capacité sous conditions, dont le périmètre doit être établi à partir du certificat exact et du manuel de sécurité. Vérifiez les versions matérielles et logicielles, les données de défaillance, la capacité systématique, l’architecture et les hypothèses d’essai avant d’utiliser l’appareil dans une SIF. Cela ne certifie pas l’installation terminée.

Q4. Faut-il un PLC de sécurité ?

Pour un déclenchement simple unique, une unité logique à relais certifiée peut suffire. Le choix dépend du nombre de fonctions, du vote et des diagnostics requis.

Guides techniques connexes

• Transmetteur de niveau radar antidéflagrant : lire le certificat plutôt que la brochure
• Maintenance des transmetteurs de niveau radar : les interventions utiles et celles à éviter

Discutez de votre application de mesure avec METRAVON

Références techniques

• HSE : cycle de vie de la sécurité fonctionnelle