La protection contre les explosions et le SIL répondent à deux niveaux de problèmes de sécurité complètement différents : la protection contre les explosions consiste à garantir que « l'appareil ne peut pas devenir une source d'inflammation », tandis que le SIL vise à savoir si « la fonction de sécurité peut fonctionner de manière fiable ». Un instrument peut avoir une certification de protection contre les explosions mais pas de classification SIL, ou il peut avoir une capacité SIL mais ne nécessite pas de certification de protection contre les explosions : chacun répond à des problèmes de risque totalement différents.
I. Quel problème la certification de protection contre les explosions résout-elle ?
La définition principale de la certification de protection contre les explosions est de confirmer que lorsqu'un équipement électrique est utilisé dans une atmosphère explosive, il n'enflammera pas les gaz combustibles ou la poussière environnants en raison d'étincelles, d'arcs ou de températures élevées générées par l'équipement lui-même. Son point de départ logique est « la présence d'un mélange inflammable et explosif » et son point final est « l'équipement est conçu de manière à ne pas devenir une source d'inflammation ».
Les exigences en matière de protection contre les explosions doivent être déterminées en fonction de l'application prévue et des conditions d'installation. Tout d'abord, la classification de la zone dangereuse doit être clarifiée : s'il s'agit de la Zone 0, de la Zone 1 ou de la Zone 2, et s'il s'agit d'un environnement gazeux ou d'un environnement poussiéreux ; Deuxièmement, le groupe de gaz et la classe de température du gaz cible doivent être confirmés. Différents types de protection contre les explosions, tels que la sécurité intrinsèque (Ex ia), l'enceinte antidéflagrante (Ex d) et la sécurité accrue (Ex e), conviennent à différentes zones et conditions de fonctionnement. Lors de la sélection, il ne suffit pas de vérifier « s'il existe une protection contre les explosions », mais il faut examiner « quel type de protection contre les explosions est adapté à cette zone ».
À quoi d’autre doit-on prêter attention au-delà de la certification de protection contre les explosions ? Il ne suffit pas de vérifier « s'il existe un certificat de protection contre les explosions », mais il faut également vérifier si le certificat couvre le modèle de produit cible, les conditions de fonctionnement cibles, la classification de zone dangereuse et le groupe de gaz/poussière. Un certificat de protection contre les explosions est généralement lié à un modèle de produit spécifique, à une plage de température et à des paramètres électriques spécifiques. Si les conditions de fonctionnement réelles sortent du champ d'application de la certification, le produit ne peut pas être utilisé conformément à cette certification. De plus, la certification de protection contre les explosions concerne le "non-allumage" - elle ne garantit pas l'exactitude des mesures, ni ne garantit des alarmes rapides en cas de surpression - ce qui relève d'un autre système.
II. Qu’est-ce que l’accès aux marchés internationaux ?
L'accès au marché international, en termes simples, signifie que pour qu'un produit entre sur le marché d'un pays ou d'une région donnée, il doit répondre aux exigences obligatoires des réglementations et normes locales. Les produits antidéflagrants sont particulièrement importants à cet égard, car la surveillance de la sécurité dans les zones dangereuses est obligatoire dans les pays du monde entier.
Les pratiques typiques des différents pays peuvent être résumées en trois types. Le type de conversion directe fait référence à certains pays ou régions acceptant les rapports de test ou les certificats délivrés par les organismes de certification de l'autre partie dans le cadre d'accords de reconnaissance mutuelle, sans qu'il soit nécessaire de procéder à des tests répétés. Le type de certification d'audit fait référence au pays importateur exigeant un examen indépendant et une certification par un organisme de certification reconnu par ce pays ; même si le pays exportateur possède déjà une certification, le processus local doit quand même être suivi. Le type d'exigences supplémentaires est basé sur l'acceptation de normes communes internationales tout en superposant les exigences différentielles particulières du pays, telles que les niveaux de tension spécifiques, le langage des étiquettes ou les styles de marquage. L'objectif du système IECEx est précisément de promouvoir la reconnaissance mutuelle internationale « d'une norme, d'un certificat, d'une marque », réduisant ainsi le fardeau des certifications répétées. Mais la réalité est que, par souci de contrôle de la sécurité, les pays conservent encore un grand nombre d’exigences localisées.
III. Définition et classification du SIL
SIL = Niveau d'intégrité de sécurité, issu du système de normes de sécurité fonctionnelle (IEC 61508 et sa norme d'application pour l'industrie des procédés IEC 61511). SIL définit le degré de confiance selon lequel un système instrumenté de sécurité exécutera avec succès une fonction de sécurité lorsqu'une action est requise.
Combien de niveaux le SIL comporte-t-il ? Il existe quatre niveaux au total, SIL 4 étant le plus élevé et SIL 1 le plus bas. Plus le niveau est élevé, plus la probabilité de défaillance de la fonction de sécurité doit être faible. Pour le mode faible demande (c'est-à-dire pas plus d'une action par an), SIL 1 correspond à une probabilité moyenne de défaillance de 10⁻² à 10⁻¹, SIL 2 est de 10⁻³ à 10⁻², SIL 3 est de 10⁻⁴ à 10⁻³ et SIL 4 est de 10⁻⁵ à 10⁻⁴. Les exigences les plus courantes dans l'industrie de transformation sont SIL 2 et SIL 3, et SIL 4 est généralement associé aux applications exigeant les plus hauts niveaux d'intégrité de sécurité.
Quelles applications nécessitent SIL ?
Les applications qui nécessitent un SIL ne sont essentiellement pas déterminées par le type d'instrument, mais par le résultat de l'évaluation des risques. Ce n'est pas "untransmetteur de pressionexige SIL », mais plutôt qu'« une certaine fonction de sécurité est évaluée comme exigeant SIL, et les instruments participant à cette fonction doivent être adaptés au SIL requis ». L'essentiel du jugement est le suivant : une fois que cette fonction de sécurité échoue, quelle est la gravité des conséquences, quelle est la fréquence d'apparition et peut-elle être rapidement évitée par d'autres couches de protection. Dans l'industrie de transformation, les applications SIL les plus typiques sont concentrées dans des scénarios tels que la protection contre la surpression, les verrouillages de niveau haut/bas, l'arrêt d'urgence, la gestion de la combustion et la surveillance des gaz toxiques/combustibles. Par exemple, une défaillance de la protection contre la surpression du réacteur peut entraîner une rupture de la cuve, voire une explosion ; une défaillance du verrouillage de haut niveau du réservoir de stockage peut provoquer un débordement du réservoir et un incendie ; une défaillance de la gestion de la combustion de la chaudière peut provoquer une déflagration du four ; et une défaillance du système d'arrêt d'urgence peut permettre que des écarts de processus ne soient pas corrigés à temps. La caractéristique commune de ces scénarios est qu'une défaillance de la fonction de sécurité peut entraîner des explosions, des incendies, des décès, des blessures ou des dommages environnementaux majeurs. même SIL 3 est généralement requis.
Une autre catégorie d'applications nécessitant un SIL est la surveillance et le verrouillage des gaz toxiques, les systèmes de protection contre la pression à haute intégrité, etc. Bien qu'ils n'impliquent pas nécessairement directement des explosions, les conséquences d'une défaillance sont tout aussi graves. Il convient particulièrement de souligner que le SIL est attribué à l'ensemble de la fonction instrumentée de sécurité et non à un seul instrument. Un transmetteur peut « prendre en charge les applications SIL 2 », mais le fait que la boucle entière atteigne réellement SIL 2 dépend toujours du contrôleur logique, des vannes de commande, de l'architecture de la boucle, de la couverture des diagnostics et des intervalles de test. À l'inverse, tous les instruments utilisés dans les zones dangereuses ne nécessitent pas un SIL : untransmetteur de pressionutilisé uniquement pour l'affichage local ou le contrôle de processus ordinaire ne nécessite pas d'évaluation SIL s'il ne participe à aucune fonction instrumentée de sécurité ; il n'a besoin que d'une certification de protection contre les explosions. Par conséquent, « quelles applications nécessitent SIL » revient en fin de compte à l'évaluation des risques : après une défaillance de cette fonction, les conséquences sont-elles suffisamment graves pour qu'un système instrumenté de sécurité doive être utilisé pour réduire le risque ? Si tel est le cas, SIL est requis ; si le système de contrôle conventionnel ou d’autres couches de protection sont suffisants, cela n’est pas nécessaire.
IV. Niveaux SIL et probabilité de défaillance dangereuse
PFDavg : probabilité moyenne de défaillance dangereuse en mode faible demande : plus la valeur est petite, plus la probabilité de défaillance est faible et plus la capacité de sécurité est forte.
PFH : Probabilité de défaillance dangereuse par heure - utilisé en mode forte demande/continu.
V. Relation entre la protection contre les explosions et le SIL
La relation entre la protection contre les explosions et le SIL peut être résumée en une phrase : ils répondent à des questions différentes et ne peuvent pas se remplacer. La protection contre les explosions répond « l'appareil enflammera-t-il l'environnement environnant », tandis que SIL répond « la fonction de sécurité peut-elle fonctionner de manière fiable en cas de besoin ».
Un transmetteur utilisé dans une zone dangereuse doit généralement répondre simultanément à deux niveaux d'exigences : il doit disposer d'un type de protection contre les explosions approprié pour s'adapter à l'indice de danger de la zone d'installation ; et s'il participe à une fonction instrumentée de sécurité, il doit également disposer de la capacité SIL correspondante. Cependant, ces deux certifications sont évaluées indépendamment. La certification de protection contre les explosions se concentre sur le boîtier, la limitation d'énergie du circuit et la température de surface ; La certification SIL se concentre sur la probabilité de panne dangereuse, la couverture des diagnostics, l'architecture de tolérance aux pannes matérielles et la gestion du cycle de vie de la sécurité.
À l’inverse, un malentendu courant est que « avoir une certification SIL signifie qu’une protection contre les explosions n’est pas nécessaire » ou « avoir un certificat de protection contre les explosions signifie qu’il peut être utilisé dans une boucle de sécurité ». Ces deux idées sont fausses. La certification SIL n'évalue pas le risque d'inflammation et la certification de protection contre les explosions n'évalue pas la fiabilité des fonctions de sécurité. Un instrument véritablement adapté à une boucle de sécurité dans une zone dangereuse doit détenir à la fois un certificat de protection contre les explosions valide et un rapport d'évaluation SIL, et la portée applicable des deux doit couvrir les conditions de fonctionnement réelles.
