De la Sécurité Fonctionnelle à la gestion des performances des systèmes de sécurité

Transcription

1 4 De la Sécurité Fonctionnelle à la gestion des performances des systèmes de sécurité Thierry VUILLUME Technical Sales Consultant Director Safety & Critical Control - EUR Paris vril 203 Slide

2 rchitecture Simplex versus Dual-PLC en configuration Failsafe Fail dangerous vailable oo 0,02 0,98 2oo2 0,04 0,9996 oo2 0,0004 0,96 CPU CPU B CPU B Fail dangerous vailable oo 0,02 0,98 Slide 2

3 PS avec voteur 2 sur 3 Fail dangerous vailable oo 0,02 0,98 2oo2 0,04 0,9996 oo2 0,0004 0,96 2oo3 0,002 0,9988 Safety Integrity Level (SIL) CPU B CPU B C CPU C B C Output =.B + B.C +.C Slide 3

4 SIL et contraintes rchitecture des SIS Les contraintes architecturales d'un SIS imposées par la CEI/EN 6508 limite le SIL qui peut être revendiqué pour une fonction de sécurité sur la base de son facteur de tolérance aux pannes matérielles et son SFF et DC. Le SFF proportion de défaillances en sécurité est la fraction du taux global aléatoire de défaillance matérielle d'un composant qui se traduit par une défaillance soit sûre ou dangereuse mais détectée /défaillances en sécurité et dangereuses. Le DC couverture de diagnostic est défini comme le rapport du taux de défaillance détectée à un taux d'échec total du composant ou sous-système, tel que détecté par les tests de diagnostic.[hors tests périodiques IEC65-] La couverture de diagnostic inclue les composants ou sous-systèmes d un SIS. Exemple: capteur et/ou logic solver et/ou élément final. Slide 4

5 Objectifs des Diagnostics PFS - Probabilité de défaillance en mode Sûr PFD - Probabilité de défaillance sur Demande (Dangerous Failure) FIBILITE Product DISPONIBILITE SUCCESSFUL OPERTION PFS Nuisance Trip PFD PFS PFD UNSUCCESSFUL OPERTION Nuisance Trip méliorer l intégrité du SIS et sa disponibilité " Fail Safe" Strategy versus "Fail operational" strategy sur défault d un sous-système Slide 5

6 rchitecture Triple modulaire Redondante avec Diagnostiques uto Spare uto Spare Input Leg Bus E/S TriBus Main Processor Output Leg Input Leg B Cause 0 Entrée Terminaison Input Leg C Main Processor B I/O Bus TriBus M P Bus E/S Main Processor C M P TriBus M P Output Leg B Output Leg C Voter Sortie Terminaison Effet B C TMR = Sécurité + Fiabilité + Disponibilité Slide 6

7 TRIDENT Diagnostic mechanics Modules I et DI exécutent en permanence des diagnostics valeur forcée (FVD), un auto-test de diagnostic qui détecte et signale par une alarme toute conditions de stuck-at et défaut de précision en moins de 500 ms. Les diagnostic des modules DI sont spécifiquement conçus pour surveiller les dispositifs qui maintiennent lespoints dans un état pendant de longues périodes de temps. Les diagnostics assurent une couverture complète de détection de faute sur chaque circuit d'entrée, même si l'état actuel de l'entrée ne change jamais. Modules O exécutent en permanence des diagnostics de commutation forcée (FSD) sur chaque point. En forçant es conditions d'erreur et en observant le comportement correct des circuits du voteur, une grande fiabilité et un fonctionnement sûr est garanti. Ces capacités de diagnostic permettent un fonctionnement sécuritaire sans limitation même en cas de scénarion de détection de fautes multiples. Tous les diagnostics sont exécutés à chaque scan Slide 7

8 Trident DO module features Module DO les diagnostics sont spécifiquement conçus pour superviser les sorties qui restent dans un état pendant de longues périodes de temps. Le diagnostics OVD assure une couverture complète de chaque circuit de sortie, même si l'état actuel de la sortie ne change jamais. Slide 8 Ce circuit du voteur est basée sur des chemins parallèles séries qui passent l'alimentation si deux des trois canaux ( et B ou B et C ou et C) de commande sont fermés. Le circuit du voteur Quad a une redondance multiple sur tous les chemins de signaux critiques, garantissant une sécurité et une disponibilité maximale. u cours de l exécution du diagnostic (OVD) l état de commandement de chaque point est momentanément inversé sur l'un des conducteurs de sortie, l un après l'autre. Un circuit de re-bouclage en retour sur le module permet à chaque SIC de lire la valeur de sortie du point et de déterminer si un défaut latent existe à l'intérieur du circuit de sortie

9 TMR versus QUD: gestion des défauts Pas de défauts sur les Modules Opération du système sans limitation Trident / Tri-GP E/S en Mode TMR Quad System E/S en Mode Dual I/O board in Fault Insertion Robot Slide 9

10 TMR versus QUD: gestion des défauts er Point en défaut sur une Voie Sans Supervision continue de l Opérateur! Trident / Tri-GP Quad System Point marqué Dual E/S en Mode Smplx Module marqué TMR / Dual Certified for Unlimited System Operation! Module Shutdown Per : Process Group Shutdown! or System Shutdown! Slide 0

11 TMR versus QUD: gestion des défauts er Point en défaut sur 2 ème Voie Trident Quad System 2 nd Point Marqué Dual Module is Still Dual TÜV Certified: Unlimited System Operation! Both Modules lready Shutdown! Per TÜV: Process Group lready Shutdown! or System lready Shutdown! Slide

12 Performance Globale d un SIS PFDSYS = PFDS + PFDL + PFDFE ctuateurs et vannes sont les maillons faibles Capteurs Sous-système Logic Sous-système Element Final Sous-système 35% 5% 50% l utilisation de capteurs intelligent augmente le taux de diagnostics l utilisation d équipement certifiés SIL augmente le taux de SFF Slide 2

13 Operational Risk L apport d une Instrumentation Intelligente et certifiée SIL SIL2 Certified (TÜV) Pressure Transmitters >90% SFF (Safe Failure Fraction) Proof Test interval ou 2 ans 5 ans de guarrantie DD et DTM pour configuration / diagnostics SIL3 Certified Valve Positioners Intrinsically safe et explosion proof Manual / utomatic Partial Stroke Test (PST) pour vannes ESD PST signature et rapport complet sur PST Disponible en HRT, Profibus P et Foundation Fieldbus (FF)H La valeur ajoutée de diagnostic des appareils de terrain (HRT )a un effet positif sur la maintenance prédictive, mais n'améliorent pas la SFF, et ne permettent pas de réduction de la redondance dans tous les cas 3

14 Intelligent Valve Diagnostics pour FSM & Maintenance Préventive Enregistrement SOE rétentif dans la mémoire de l PS, pour une traçabilité des tests 2 DO DO DI 24VDC 24VDC Input Do PST Status PST Slide 4 4

15 Triconex Enhanced Diagnostic Monitor (Puissant outil de reporting) Supervision / détection de fautes Slide 5 Internes au système et périfériques limentations, capteurs / actionneurs Communications 5

16 rchitecture typique SIS avec outils de gestion de sécurité operationelle Engineering Tristation Tricon SIL3 Trident SIL3 Ops & Maintenance SOE, larmes par SIF Inhibit & Bypass Mgt. Real time view of risk across the plant, SIS Diagnostic Monitoring Slide 6 Safety LN 6

17 Une approche holistique et systématique 7 Slide 7

18 Pour prendre les décisions sur la sécurité dans leur contexte avec suffisement d information Business Risk 2 Design Risk GP 3 Operational Risk Slide 8

19 Outils pour la gestion des performances des systèmes de sécurité Q Concept Q2 Design Q4 Operate Q3 Implement 9

20