Les utilisateurs finaux qui exploitent des machines tournantes (critiques) ont l’obligation légale de mettre en œuvre un système instrumenté de sécurité (SIS) adapté et vérifiable. Le niveau d’intégrité de sécurité (SIL, CEI 61508), l’une des méthodes de réduction des risques les plus en vue, permet aux responsables de prouver que tout a été mis en œuvre pour réduire les risques au minimum. Le SIL est également intégré dans la norme API 670 (5e édition) en tant que méthode de référence pour se conformer aux normes de sécurité relatives aux systèmes de protection des machines. Le SIL s’étant révélé une méthode précieuse pour répondre aux exigences légales en matière de sécurité, le marché des systèmes de protection contre la survitesse des turbines est désormais largement axé sur le SIL.
De plus en plus d’utilisateurs finaux exigent des systèmes de sécurité certifiés SIL, ce qui explique pourquoi les équipementiers intègrent le SIL dans la conception de leurs systèmes. Il convient toutefois d’établir une distinction importante concernant la certification SIL : d’une part, la certification par validation en service et, d’autre part, la certification par conception.
Certifié par une utilisation éprouvée
La certification SIL par « éprouvé en service » signifie que le SIS n’est pas conçu selon les exigences SIL spécifiées dans la norme CEI 61508, mais plutôt sur la base du temps moyen entre deux pannes (MTBF), du temps moyen jusqu’à la panne (MTTF) et des modes de défaillance (détectés ou non détectés). La certification « éprouvé en service » est acceptée sur la base de statistiques plutôt que sur l’intégrité de sécurité définie par les directives correspondantes. Les exigences relatives à la certification « éprouvé en service » sont très strictes et imposent à l’utilisateur de disposer* :
- Un système formel de collecte de données de fiabilité qui distingue les défaillances sans danger de celles qui sont dangereuses.
- Une méthode d’évaluation des données enregistrées permettant de déterminer l’intégrité de sécurité du SIS et son adéquation à l’application.
- Preuve que l’application est clairement comparable.
- Preuves historiques consignées des heures de fonctionnement.
- Preuves des systèmes de gestion, de qualité et de configuration de fabrication du fabricant.
- Registres des révisions du micrologiciel des appareils.
- Preuve que les enregistrements de données de fiabilité sont mis à jour et révisés régulièrement.
*Source : CEI 61508 et CEI 61511
Cette approche s’applique souvent à des systèmes déjà en service qui ne satisfont pas aux exigences de la certification SIL (CEI 61508). Sur la base de leur utilisation fiable depuis une décennie, avec peu de défaillances, ces systèmes sont certifiés SIL par « éprouvé en service ». Il est important de noter que la certification « éprouvé en service » n’est valable que pour l’application spécifique dans laquelle le système a été exploité et ne peut donc pas être simplement transposée à des applications comparables.
Remarque : l’argument « éprouvé sur le terrain » est une approche plus pertinente pour un utilisateur final que pour un équipementier (OEM). En effet, l’utilisateur final connaît tous les tenants et aboutissants de l’instrument, de son application et des conditions environnementales.
Certifié dès la conception
La certification SIL « par conception » signifie que le système est conçu conformément aux exigences de la norme CEI 61508 pour une gamme d’applications spécifiée. L’intervalle entre les essais de validation pour les systèmes certifiés « par conception » est bien plus long que pour ceux certifiés « par validation en service ». Cependant, plus le système est complexe, plus il doit être testé régulièrement. En effet, un plus grand nombre de fonctionnalités entraîne davantage de points faibles potentiels dans le système.
La certification « par conception », destinée aux équipementiers (OEM), est toujours préférée à la certification « éprouvée en service » en raison de son applicabilité plus large et de ses intervalles de test plus longs. Cependant, de nombreux produits ne pourront jamais obtenir une telle certification en raison de leur conception. En termes de SIL, la seule option est alors soit d’utiliser un produit non certifié, soit de s’efforcer d’obtenir une certification « éprouvée en service ».
SpeedSys : protection contre la survitesse certifiée dès la conception
Istec a développé le SpeedSys : un système de protection contre la survitesse certifié dès sa conception. Nous avons supprimé toutes les fonctionnalités superflues pour revenir à l’essence même de la protection contre la survitesse, telle que définie par la norme API 670. Le SpeedSys se caractérise par un intervalle de test minimal de 10 ans, une évolutivité permettant d’atteindre des niveaux SIL plus élevés grâce à des structures de vote, ainsi qu’une architecture basée sur des transmetteurs, par opposition aux architectures complexes en rack. Le SpeedSys offre le même niveau de protection que n’importe quel système en rack, mais est beaucoup plus abordable financièrement, tant pour les petits que pour les grands équipements rotatifs.
