OPTISOUND 30*0 C Transmetteur de niveau à ultrasons 4 … 20 mA/HART - deux fils 4 … 20 mA/HART - quatre fils Safety Manual Table des matières Table des matières 1 Sécurité fonctionnelle 1.1 Généralités........................................................................................................................ 3 1.2 Conception........................................................................................................................ 4 1.3 Paramétrage des appareils............................................................................................... 7 1.4 Mise en service................................................................................................................. 8 1.5 Comportement au cours du fonctionnement et en cas de pannes.................................... 8 1.6 Test de fonctionnement périodique................................................................................... 8 1.7 Caractéristiques techniques relatives à la sécurité............................................................ 9 48375-FR-160118 2 OPTISOUND 30*0 C • 4 … 20 mA/HART - deux fils 1 Sécurité fonctionnelle 1 Domaine de validité Sécurité fonctionnelle 1.1 Généralités Ce manuel de sécurité est valable pour les systèmes de mesure comprenant des capteurs à ultrasons OPTISOUND 3010 C, 3020 C, 3030 C en versions 2 et 4 fils 4 … 20 mA/HART : OPTISOUND 3010 C OPTISOUND 3020 C OPTISOUND 3030 C Versions hardware et software valables : • • Domaine d'application Numéro de série de l'électronique > 14455153 Logiciel du capteur à partir de la rév. 3.26 Le système de mesure peut être utilisé pour la mesure de niveau de liquides et solides en vrac/pulvérulents, satisfaisant aux exigences particulières fonctionnelle de sécurité. De part le retour d'expérience, ils pourront être utilisés en architecture à un canal (1oo1D) jusqu'à SIL2 et en architecture multi-canaux en version diversitaire redondante jusqu'à SIL3. L'utilisation du système de mesure dans une architecture à plusieurs canaux, homogène et redondante est exclue. Conformité SIL 48375-FR-160118 Abréviations, termes Vous pouvez télécharger la déclaration de conformité SIL à partir de notre page d'accueil sur internet. SIL Safety Integrity Level HFT Hardware Fault Tolerance SFF Safe Failure Fraction PFDavg Average Probability of dangerous Failure on Demand PFH Probability of a dangerous Failure per Hour FMEDA Failure Mode, Effects and Diagnostics Analysis λsd Rate for safe detected failure λdd Rate for dangerous detected failure DCS Diagnostic Coverage of safe failures; DCS = λsd/(λsd+λsu) FIT Failure In Time (1 FIT = 1 failure/109 h) λsu Rate for safe undetected failure λdu Rate for dangerous undetected failure DCD Diagnostic Coverage of dangerous failures; DCD = λdd/(λdd+λdu) MTBF Mean Time Between Failure MTTF Mean Time To Failure MTTR Mean Time To Repair D'autres abréviations et termes sont indiqués dans la norme IEC 61508-4. OPTISOUND 30*0 C • 4 … 20 mA/HART - deux fils 3 1 Sécurité fonctionnelle Normes concernées • • Exigences de sécurité IEC 61508 –– Functional safety of electrical/electronic/programmable electronic safety-related systems IEC 61511-1 –– Functional safety - safety instrumented systems for the process industry sector - Part 1: Framework, definitions, system, hardware and software requirements Valeurs limites de défaillance pour une fonction de sécurité, selon la classe SIL (IEC 61508-1, 7.6.2) Niveau d'intégrité de sécurité Mode faible demande Mode demande élevée PFDavg PFH 4 ≥ 10-5 … < 10-4 ≥ 10-9 … < 10-8 3 ≥ 10-4 … < 10-3 ≥ 10-8 … < 10-7 2 ≥ 10-3 … < 10-2 ≥ 10-7 … < 10-6 1 ≥ 10 … < 10 ≥ 10-6 … < 10-5 SIL -2 -1 Intégrité de sécurité du matériel (hardware) pour les systèmes partiels relatifs à la sécurité de type B (IEC 61508-2, 7.4.3) Retour d'expérience Proportion de défaillances en sécurité Tolérance aux anomalies matérielles (hardware) SFF HFT = 0 HFT = 1 (0) HFT = 2 < 60 % non autorisé SIL1 SIL2 60 % … < 90 % SIL1 SIL2 SIL3 90 % … < 99 % SIL2 SIL3 (SIL4) ≥ 99 % SIL3 (SIL4) (SIL4) Selon IEC 61511-1, paragraphe 11.4.4, la tolérance aux anomalies HFT pour les systèmes partiels validés en utilisation peut être réduite de un si les conditions suivantes sont satisfaites: • • • • L'appareil est validé en utilisation Seuls les paramètres importants pour le process sont modifiables (p. ex. plage de mesure, sortie courant en cas de défaut …) La modification de ces paramètres importants au process est protégée (p. ex. par un mot de passe, …) La fonction de sécurité requiert un niveau inférieur à SIL4 L'expertise des modifications est prise en compte dans L'évaluation du retour d'expérience. 1.2 Conception Le système de mesure génère sur sa sortie courant un signal correspondant au niveau compris entre 3,8 mA et 20,5 mA. Ce signal analogique est transmis à une unité d'exploitation connectée en aval pour surveiller les états suivants : 4 OPTISOUND 30*0 C • 4 … 20 mA/HART - deux fils 48375-FR-160118 Fonction de sécurité 1 Sécurité fonctionnelle • • Dépassement vers le haut d'un niveau prédéterminé. Dépassement vers le bas d'un niveau prédéterminé L'atteinte du point de commutation réglé génère un signal. État de sécurité L'état de sécurité dépend du mode de fonctionnement : Surveillance du niveau Surveillance du nihaut veau bas État de sécurité Dépassement du point de commutation vers le haut Dépassement du point de commutation vers le bas Courant de sortie à l'état > point de commutation (-1 %) de sécurité positive < point de commutation (+1 %) Courant défaut " fail low " < 3,6 mA < 3,6 mA Courant défaut " fail high " > 21,5 mA > 21,5 mA La tolérance du courant ±1 % se rapporte à la plage de mesure complète de 16 mA. Description de l'erreur Il y a défaillance non dangereuse (safe failure) si le système de mesure bascule à l'état de sécurité défini ou en mode défaut sans requête du process. Si le système de diagnostic interne détecte une anomalie, le système de mesure passera alors en mode défaut. Il y a défaillance dangereuse non détectée (dangerous undetected failure), si le système de mesure ne passe ni à l'état de sécurité défini, ni en mode défaut suite à une requête du process. Configuration de l'unité d'exploitation Si le système de mesure délivre des courants de sortie de " fail low " ou de " fail high ", il faut alors considérer qu'il y a présence d'une défaillance. C'est pourquoi l'unité d'exploitation doit interpréter de tels courants comme défaut et délivrer une signalisation de défauts adéquate. Si ce n'est pas le cas, il faudra attribuer les parts correspondantes des taux de défaillance aux anomalies dangereuses. Ce qui peut conduire à une dégradation des valeurs indiquées au chapitre " Caractéristiques techniques relatives à la sécurité ". L'unité d'exploitation doit correspondre au niveau SIL de la chaîne de mesure. 48375-FR-160118 Mode faible demande Si la fréquence du mode de sollicitation ne dépasse pas une fois par an, le système de mesure pourra être utilisé comme système partiel de sécurité en mode " low demand mode " (IEC 61508-4, 3.5.12). Si le rapport entre le taux de tests de diagnostic du système de mesure et le mode de demande dépasse la valeur 100, le système de mesure pourra être traité comme effectuant une fonction de sécurité en mode faible demande (IEC 61508-2, 7.4.3.2.5). Le paramètre associé est la valeur PFDavg (average Probability of dangerous Failure on Demand). La valeur dépend de l'intervalle de OPTISOUND 30*0 C • 4 … 20 mA/HART - deux fils 5 1 Sécurité fonctionnelle vérification TProof entre les tests de fonctionnement de la fonction de sécurité. Vous trouverez la valeur au chapitre " Caractéristiques techniques relatives à la sécurité ". Mode demande élevée Si le " mode faible demande " ne convient pas, il faudra utiliser le système de mesure comme système partiel de sécurité en mode " high demand mode " (IEC 61508-4, 3.5.12). Le temps de tolérance de défaillance de tout le système doit être ici supérieur à la somme des temps de réaction et/ou des durées de test de diagnostic de tous les composants de la chaîne de mesure de sécurité. Le paramètre associé est la valeur PFH (taux de défaillance). Vous trouverez la valeur au chapitre " Caractéristiques techniques relatives à la sécurité ". Postulats La réalisation de la FMEDA repose sur les postulats suivants : • • • • • • • • • Remarques générales et restrictions Les taux de défaillance sont constants, l'usure des composants mécaniques n'a pas été prise en considération Les taux de défaillance des alimentations courant externes n'ont pas été pris en compte dans le calcul Les erreurs multiples n'ont pas été considérées La température ambiante moyenne pendant la durée de fonctionnement 40 °C (104 °F) Les conditions environnementales correspondent à un environnement industriel moyen La durée d'utilisation des composants est comprise entre 8 et 12 ans (IEC 61508-2, 7.4.7.4, Note 3) La durée de réparation (remplacement du système de mesure) après une défaillance de sécurité est de huit heures (MTTR = 8 h) L'unité d'exploitation peut interpréter les défaillances " fail low " et " fail high " comme panne et délivrer une signalisation de défaut adéquate Les interfaces de communication existantes (p. ex. HART, bus I²C) ne seront pas utilisées pour la transmission des informations relatives à la sécurité. Il faudra veiller à une utilisation du système de mesure conforme à l'application en tenant compte de la pression, de la température, de la densité et des propriétés chimiques du produit. Les limites spécifiques à l'application sont à respecter. Il ne faut pas aller au-delà des spécifications de la notice de mise en service. Les situations critiques de process et de cuves suivantes peuvent entraînter des erreurs de mesure : 6 Colmatage de produit au transducteur Obstacles plats ou à angles vifs Réflexions parasites lors de l'utilisation d'agitateurs Formation de mousse au-dessus du produit Différents gaz au-dessus du produit (en particulier CO2) Ecart de température important au-dessus du produit OPTISOUND 30*0 C • 4 … 20 mA/HART - deux fils 48375-FR-160118 • • • • • • 1 Sécurité fonctionnelle Il est possible que de plus courts intervalles de test proof soient nécessaires ! Outils de réglage 1.3 Paramétrage des appareils Si les conditions d'implantation ont une influence sur la sécurité du système de mesure, il faudra régler les paramètres des appareils en fonction de l'application. Ceci se fait avec les outils suivants : • • Le DTM approprié au OPTISOUND 3010 C, 3020 C, 3030 C en liaison avec le logiciel de configuration selon le standard FDT/ DTM, p.ex. PACTware Module de réglage et d'affichage Remarque: Veillez à utiliser le catalogue DTM 10/2005 ou une version plus récente. Créer une voie de mesure Si le système de mesure n'a pas été commandé spécialement pour une application dans des systèmes instrumentés de sécurité (SIS), il faudra activer le paramètre "Capteur selon SIL" dans le menu "Réglage de base" de logiciel de configuration. Dans le cas d'utilisation du module de réglage et d'affichage est utilisé, il faudra activer dans la zone de menus "Service" le paramètre "SIL". Comportement en cas de panne Le paramétrage du courant de défaut influence les caractéristiques techniques relatives à la sécurité. C'est pourquoi seuls les courants de défauts suivants sont tolérés pour les applications de sécurité : • • Atténuation du signal de sortie L'atténuation du signal de sortie doit être adaptée à la durée de sécurité du process. Modes de fonctionnement non autorisés La transmission des valeurs de mesure au moyen de signaux HART ainsi que le mode de fonctionnement HART multidrop ne sont pas autorisés. Possibilités de vérification L'efficacité des paramètres réglés doit être vérifiée d'une manière appropriée. • • 48375-FR-160118 fail low = <3,6 mA (valeur Default) fail high = 22 mA Blocage d'accès Après le raccordement de l'appareil, le signal de sortie bascule sur le courant de défaut réglé à la fin de la phase de mise en route. En mode "Simulation", le signal courant peut être simulé indépendamment du niveau actuel Pour protéger l'appareil contre des modifications involontaires ou non autorisées, les paramètres réglés doivent être sauvegardés contre un accès intempestif : • • Activer la protection par mot de passe via le logiciel de configuration Activer le code PIN via le module de réglage et d'affichage OPTISOUND 30*0 C • 4 … 20 mA/HART - deux fils 7 1 Sécurité fonctionnelle L'accès à l'aide d'une console HART ou similaire n'est pas admis. La protection contre un déréglage involontaire ou non autorisé peut se faire par exemple en scellant le couvercle du boîtier. Avertissement ! Après avoir restauré les paramètres d'origine par un reset, il est nécessaire de les contrôler et/ou de les régler à nouveau. Montage et installation 1.4 Mise en service Respecter les consignes de montage et d'installation de la notice de mise en service. Dans le cadre de la mise en oeuvre de l'appareil, nous vous recommandons de vérifier la fonction de sécurité en procédant à un premier remplissage. 1.5 Comportement au cours du fonctionnement et en cas de pannes Fonctionnement et panne Les éléments de réglage et/ou les paramètres des appareils ne doivent pas être modifiés durant le fonctionnement. En cas de changements apparaissant pendant le fonctionnement, respectez les fonctions de sécurité. Les signalisations de défaut se manifestant durant le fonctionnement sont décrites dans la notice technique de mise en service de l'appareil. En présence d'anomalies détectées ou de signalisations de défaut, il faudra mettre tout le système de mesure hors service et maintenir le process dans un état de sécurité par d'autres dispositions. Le changement de l'électronique est simple. Il vous est décrit dans la notice de mise en service. Respectez pour cela les indications concernant le paramétrage et la mise en oeuvre. Si vous remplacez l'électronique ou le capteur complet en raison d'une anomalie constatée, vous aurez à le signaler au fabricant de l'appareil (y compris une description de l'anomalie). Raison 1.6 Test de fonctionnement périodique En mode de demande élevée, un test de fonctionnement périodique n'est pas prévu dans la norme IEC 61508. On considère ici comme preuve de bon fonctionnement l'utilisation fréquente du système de mesure. Cependant, dans les architectures à deux canaux, il est judicieux de prouver l'effet de la redondance par des tests de fonctionnement périodiques dans des intervalles de temps appropriés. 8 OPTISOUND 30*0 C • 4 … 20 mA/HART - deux fils 48375-FR-160118 Le test de fonctionnement périodique sert à vérifier la fonction de sécurité et à déceler les anomalies ou défaillances dangereuses potentielles non détectables. C'est pourquoi le bon fonctionnement du système de mesure doit être vérifié à des intervalles périodiques adéquats. C'est à l'exploitant de l'installation qu'il incombe de définir le type de vérification. Les intervalles de temps sont fonction de la valeur PFDavg utilisée aux tableau et diagramme indiqués au chapitre " Caractéristiques techniques relatives à la sécurité ". 1 Sécurité fonctionnelle Exécution Le test doit prouver le parfait fonctionnement de la fonction de sécurité en corrélation avec tous les composants asservis. Ceci est garanti en faisant monter le niveau jusqu'au seuil de commutation dans le cadre d'un remplissage de cuve. Si un remplissage jusqu'au seuil de commutation n'est pas praticable, le système de mesure doit alors être déclenché par une simulation adéquate du niveau ou par moyen physique. Les méthodes et procédés utilisés au cours des tests doivent être spécifiés tout comme leur degré d'efficacité. Les contrôles sont à documenter. Si le test de fonctionnement décèle des défauts, mettez tout le système de mesure hors service et maintenez le process dans un état de sécurité avec d'autres mesures de protection. Dans une architecture à plusieurs canaux, ceci est valable séparément pour chaque canal. 1.7 Bases Caractéristiques techniques relatives à la sécurité Les taux de défaillance de l'électronique, des parties mécaniques de l'élément de mesure ainsi que du raccord process ont été calculés par une FMEDA selon IEC 61508. La base de ces calculs repose sur les taux de défaillance des composants selon SN 29500. Toutes ces valeurs numériques se rapportent à une température ambiante moyenne de 40 °C (104 °F) pendant la durée de fonctionnement. L'expérience nous a montré que pour une température moyenne plus élevée de 60 °C, les taux de défaillance doivent être multipliés par un facteur de 2,5. En cas de variations de température fréquentes, il faut calculer avec un facteur similaire. 48375-FR-160118 Les calculs s'appuient toujours sur les remarques indiquées au chapitre " Conception ". Durée d'utilisation Après 8 à 12 ans, les taux de défaillance des composants électroniques vont augmenter, conduisant à une dégradation des valeurs PFD et PFH qui en découlent (IEC 61508-2, 7.4.7.4, note 3). Taux de défaillance Est valable pour la protection antidébordement et la contre la marche à vide : λsd 0 FIT λdd 668 FIT DCS 0% MTBF = MTTF + MTTR 0,6 x 106 h λsu 458 FIT λdu 193 FIT DCD 77 % OPTISOUND 30*0 C • 4 … 20 mA/HART - deux fils 9 1 Sécurité fonctionnelle Temps de réaction en cas de défaillance E013 (aucune valeur de mesure existante) Application liquides Application solides en vrac/pulvérulents Caractéristiques spécifiques < 6 min < 14 min E013 (erreur de matériel/hardware) < 2 min E036/E037 (le logiciel du capteur ne fonctionne pas) < 25 h Architecture monocanale (1oo1D) SIL SIL2 HFT 0 Type d'appareil type B SFF 85 % Est valable pour la protection antidébordement et la contre la marche à vide : PFDavg TProof = 1 an < 0,085 x 10-2 TProof = 5 ans < 0,423 x 10-2 PFH L'évolution de PFDavg dans le temps < 0,193 x 10-6/h L'évolution de PFDavg dans le temps est presque linéaire à la durée de fonctionnement pendant une période maximale de 10 ans. Les valeurs indiquées précédemment sont valables uniquement pour l'intervalle TProof après lequel un test de fonctionnement périodique doit être effectué. 4 PFDavg 3 2 1 1 5 10 TProof 1 2 3 4 10 PFDavg = 0 PFDavg après 1 an PFDavg après 5 ans PFDavg après 10 ans OPTISOUND 30*0 C • 4 … 20 mA/HART - deux fils 48375-FR-160118 Fig. 1: Evolution PFDavg dans le temps (valeurs numériques voir tableaux représentés ci-dessus) 1 Sécurité fonctionnelle Architecture à plusieurs canaux Caractéristiques spécifiques Si le système de mesure est utilisé dans une architecture à plusieurs canaux, il faudra calculer les valeurs des caractéristiques de sécurité de la chaîne de mesure spécialement pour l'application sélectionnée, en fonction des taux indiqués précédemment. Il faudra tenir compte d'un facteur Common Cause approprié. 48375-FR-160118 Le système de mesure ne doit être utilisé que dans une architecture diversitaire et redondante! OPTISOUND 30*0 C • 4 … 20 mA/HART - deux fils 11 2016-01-18 Sous réserve de modifications • • • • • • • • • • • Débitmètres électromagnétiques Débitmètres à section variable Débitmètres à ultrasons Débitmètres massiques Débitmètres Vortex Contrôleurs de débit Transmetteurs de niveau Sondes de température Capteurs de pression Matériel d'analyse Systèmes de mesure pour l'industrie pétrolière et gazière KROHNE Messtechnick GmbH & Co. KG Ludwig-Krohne-Straße 5 D-47058 Duisburg Tel.: +49 (0) 203 301 0 Tel.: +49 (0) 203 301 10389 [email protected] Consultez notre site Internet pour la liste des contacts KROHNE: www.krohne.com 48375-FR-160118 Gamme de produits KROHNE ">
Enlace público actualizado
El enlace público a tu chat ha sido actualizado.