Évaluation du niveau de SIL des fonctions instrumentées de sécurité (SIF) – Calculs

Les différentes méthodes

L’évaluation de la probabilité de défaillance à la sollicitation, indispensable pour déterminer le niveau de SIL des SIF à faible sollicitation, nécessite un calcul d'indisponibilité. Pour ce faire, différentes méthodes peuvent être appliquées :

• 1 - formules de calcul « approchées » ;
• 2 - arbre de défaillances ;
• 3 - graphes de Markov ;
• 4 - réseaux de Pétri.

Ces méthodes sont plus ou moins complexes à mettre en œuvre. Les méthodes -1- et -2- sont fréquemment utilisées pour le calcul de niveau de SIL car applicables par des spécialistes en risques industriels. Les méthodes -3- et -4- sont quant à elles plus destinées à des spécialistes de sûreté de fonctionnement et de ce fait moins utilisées dans le domaine de l’industrie. Pour cette raison, seules les méthodes -1- et -2- sont présentées dans cette fiche. Les méthodes Graphes de Markov et Réseaux de Pétri sont bien décrites d’une part dans l’article sur les graphes de Markov : SE4071 - Analyse des risques des systèmes dynamiques : approche markovienne, d’autre part dans l’article sur les réseaux de Petri : SE4072 - Analyse des risques des systèmes dynamiques : réseaux de Petri – Principes (cf. Bibliographie).

Les formules de calcul « approchées »

Deux sources reconnues internationalement peuvent être utilisées :

• les formules du guide ISA (ISA-TR84.00.02-2002 - Part 2) ;
• les formules proposées dans la norme IEC 61508-6.

Les formules de l’IEC 61508-6

La norme IEC 61508-6 propose des formules de calcul permettant d’évaluer la PFD moyenne (PFD_avg) à la sollicitation pour quelques redondances MooN. La norme ne traite que quelques architectures couramment répandues dans l’industrie. Les architectures couvertes par des formules sont : 1oo1, 1oo2, 2oo2 et 2oo3. Pour les autres architectures MooN, il faut recourir à l’utilisation de formules provenant d’autres sources (formules proposées par l’ISA par exemple).

Le tableau « Formules de calcul de la PFD_avg d’après la norme IEC 61508-6 » présente ces formules.

Formules de calcul de la PFDavg d’après la norme IEC 61508-6

Les différents termes utilisés dans les formules sont définis dans le tableau « Définitions des termes intervenant dans les formules de calcul de la PFD_avg de la norme IEC 61508-6 ».

Les formules de l’ISA

L’ISA propose des formules calculs permettant d’évaluer la PFD moyenne (PFDavg) à la sollicitation pour diverses redondances MooN. Le tableau « Formules de calcul de la PFD_avg d’après le guide ISA » présente ces formules.

Formules de calcul de la PFDavg d’après le guide ISA - TR84.00.02-2002 - Part 2

Les formules du guide ISA font intervenir un terme λ_F^D qui correspond à un taux de défaillances systématique. Ce type de défaillance n’est pas retenu dans les formules de l’IEC 61508-6.

Appliquer les formules

La probabilité moyenne de défaillance à la sollicitation de la fonction de sécurité est estimable par la combinaison de la probabilité moyenne de défaillance de tous les sous-systèmes qui la composent. En se basant sur la figure « Décomposition d’une SIF en sous-systèmes », il est possible d’évaluer la PFD_avg de la SIF comme suit : PFD_avg (SIF) = PFD_avg (SSC) + PFD_avg (SSL) + PFD_avg (SSEF)

Avec :

• PFD_avg(SSC) : probabilité de défaillance moyenne à la sollicitation du sous-système capteur ;
• PFD_avg(SSL) : probabilité de défaillance moyenne à la sollicitation du sous-système logique ;
• PFD_avg(SSEF) : probabilité de défaillance moyenne à la sollicitation du sous-système élément final.

Décomposition d’une SIF en sous-systèmes

Le schéma « Exemple de décomposition de SIF en sous-systèmes » présente un exemple de SIF. Cette SIF est composée :

• de trois capteurs en architecture redondante 2oo3 ;
• d’une logique de traitement ;
• de deux vannes d’isolement automatique en architecture redondante 1oo2.

Exemple de décomposition de SIF en sous-systèmes

La PFD de la SIF présentée dans cette figure s’exprime comme suit :

• PFD(SIF) = PFD (détecteurs) + PFD (logique) + PFD (vannes)
• PFD(SIS) = PFD (2oo3) _détection + PFD (1oo1) _logique + PFD (1oo2) _isolement

La PFD de chacun des sous-systèmes est à évaluer en fonction de l’architecture des dispositifs qui les composent à l’aide des formules de calcul de l’IEC 61508-6 ou de l’ISA.

Les arbres de défaillances

L’application de la méthode de l'arbre de défaillances pour estimer la PFD_avg consiste à identifier toutes les combinaisons possibles susceptibles de mener à une « défaillance » de la fonction instrumentée.

Arbre de défaillances associé à la SIF « Exemple de décomposition de SIF en sous-systèmes »

Les défaillances indépendantes sont retranscrites dans l’arbre à l’aide de porte type KooN. L’événement en sortie de la porte se réalise dès lors que K événements parmi N sont présents. Pour un système en 2oo3, une défaillance de la redondance sera observée dès que deux capteurs parmi les trois seront défaillants.

L’estimation de la PFD_avg nécessite par la suite de définir les lois de fiabilité associées aux différents équipements. Un logiciel dédié effectuera ensuite les calculs en intégrant les équations de fiabilité au niveau des portes logiques.

L’approche simplifiée qui consiste à déterminer la PFD_avg de la SIF à partir des PFD_avg des différents initiateurs de l’arbre n’est pas « correcte ». Un exemple pour une architecture en 2oo3 (les CCF ne sont pas considérées dans l’exemple) et en considérant une loi de type test périodique simple (loi qui représente un composant tombant en panne selon une loi de distribution exponentielle et dont on constate la panne lors d'un test) est présenté en figure « Estimation de la PFD_avg à l’aide d’un arbre de défaillance ».

Estimation de la PFD_avg à l’aide d’un arbre de défaillances

Approche « correcte »

Approche « incorrecte »

En considérant un taux de défaillances dangereuses non détectées de 1 E- 5/h et une période de test de 8 760 heures, la PFD_avg pour un système en 1oo1 estimée à l’aide d’une formule type guide ISA est égale à 4.38E-2.

La « divergence » des PFD_avg obtenues par les deux approches précédentes dépend du type d’architecture.